CVE-2022-50590
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Podatność typu confusion w SuiteCRM przed wersją 7.12.6 występuje podczas przetwarzania parametru 'module' w funkcji 'deleteAttachment'. Zdalny, nieuwierzytelniony atakujący może zmieniać obiekty bazy danych, w tym adres e-mail administratora.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia konta administratora poprzez zmianę jego adresu e-mail, co może prowadzić do pełnej kompromitacji systemu CRM i wycieku danych wrażliwych.
Rekomendacja
Należy niezwłocznie zaktualizować SuiteCRM do wersji 7.12.6 lub nowszej, która zawiera poprawkę eliminującą podatność.
Inne podatności w SuiteCRM
Zobacz wszystkie- CVE-2015-5948Wysokie
W SuiteCRM przed wersją 7.2.3 występuje warunkowa podatność, która pozwala zdalnym atakującym na wykonanie dowolnego kodu. Problem ten wynika z niekompletnej poprawki dla CVE-2015-5947.
- CVE-2015-5947Wysokie
SuiteCRM w wersjach przed 7.2.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu.
- CVE-2015-5946Wysokie
W SuiteCRM w wersji 7.2.2 występuje luka związana z niekompletną czarną listą, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu poprzez przesłanie pliku z rozszerzeniem wykonywalnym.
- CVE-2022-50589Krytyczne
Podatność SQL injection w SuiteCRM przed wersją 7.12.6 występuje podczas przetwarzania parametru 'uid' w funkcji eksportu. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę lukę do wykonania dowolnego kodu.
- CVE-2026-108713Średnie
SuiteCRM w wersjach do 7.15.2 oraz 8.x do 8.10.2 zawiera brak autoryzacji w punkcie wejścia setCampaignMarketingAndTemplate, co pozwala uwierzytelnionym użytkownikom na tworzenie i modyfikowanie rekordów EmailMarketing. Użytkownicy z niskimi uprawnieniami, bez dostępu do kampanii, mogą podać marketingId, campaignId i templateId, aby ponownie podpiąć wiadomości marketingowe lub zmienić szablon wysyłany przez EmailMan w e-mailach kampanii.
- CVE-2026-108712Średnie
SuiteCRM w wersjach do 7.15.2 i 8.10.2 zawiera brak autoryzacji w punkcie wejścia DetailUserRole, co pozwala uwierzytelnionym użytkownikom niebędącym administratorami na przeglądanie danych ACL innych użytkowników. Atakujący może podać identyfikator innego nieadministracyjnego użytkownika w parametrze record, aby odczytać jego przypisane role i macierz akcji ACL dla modułów.
- CVE-2019-25664Wysokie
SuiteCRM 7.10.7 zawiera podatność na czasowe wstrzykiwanie SQL w parametrze record akcji DetailView modułu Users. Uwierzytelnieni atakujący mogą wyodrębnić dane przez ślepe wstrzykiwanie SQL oparte na czasie.
- CVE-2019-25663Wysokie
SuiteCRM 7.10.7 zawiera podatność na wstrzykiwanie SQL przez parametr parentTab w module email. Uwierzytelnieni atakujący mogą wyodrębnić dane przez ślepe wstrzykiwanie SQL oparte na wartościach logicznych.
- CVE-2025-41384Średnie
W SuiteCRM v7.14.1 występuje podatność Cross-Site Scripting (XSS) typu reflected. Atakujący może wykonać kod JavaScript, modyfikując nagłówek HTTP Referer, aby zawierał dowolną domenę ze złośliwym kodem JavaScript na końcu. Serwer próbuje zablokować dowolną domenę, ale pozwala na wykonanie kodu JavaScript.
Oryginalny opis (angielski, źródło NVD)
SuiteCRM versions prior to 7.12.6 contain a type confusion vulnerability within the processing of the ‘module’ parameter within the ‘deleteAttachment’ functionality. Successful exploitation allows remote unauthenticated attackers to alter database objects including changing the email address of the administrator.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS