CVE-2026-69134
WysokieCVSS 8.8Streszczenie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 handler REST v4 JSON odczytuje wartość RAW_REQUEST sprzed filtrowania, a funkcje pomocnicze zapisu relacji wstawiają dostarczone wartości pól do instrukcji INSERT i UPDATE. Uwierzytelniony użytkownik może wstrzyknąć SQL przez pola relacji, aby odczytać lub zmienić dane w bazie, a przy podwyższonych uprawnieniach konta bazy może doprowadzić do zapisu plików.
Ocena ryzyka
Uwierzytelniony użytkownik może modyfikować lub odczytywać dane bazy, a w sprzyjających warunkach zapisywać pliki, co grozi kompromitacją aplikacji.
Rekomendacja
Zaktualizuj SuiteCRM do wersji 7.15.2 lub 8.10.2 i wdroż parametryzację zapytań w funkcjach zapisu relacji oraz ogranicz uprawnienia konta bazy danych.
Inne podatności w SuiteCRM
Zobacz wszystkie- CVE-2026-97377Wysokie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 starsza metoda portalu SOAP portal_get_entry_list propaguje wartości where i order_by kontrolowane przez wywołującego do konstrukcji zapytania SQL bez wystarczającej neutralizacji. Użytkownik API portalu z niskimi uprawnieniami może przeprowadzić ślepą iniekcję SQL.
- CVE-2026-71548Wysokie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 metoda AOR_Report::build_report_query_where uwzględnia parameter_value edytora raportów przy value_type=Field bez wystarczającej walidacji. Uwierzytelniony użytkownik mogący zapisywać raporty może wykorzystać iniekcję SQL do odczytu całej bazy danych SuiteCRM.
- CVE-2026-69145Średnie
W SuiteCRM przed wersjami 7.15.2 i 8.10.2 generowanie raportów AOR ponownie ładuje wartość zapisaną w aor_fields.field i wstawia ją do SQL raportu bez ścisłej walidacji pola. Uwierzytelniony użytkownik mogący konfigurować raporty może wstrzyknąć SQL przez tę zapisaną wartość pola i ujawnić zawartość bazy danych.
- CVE-2026-69144Średnie
W SuiteCRM przed wersjami 7.15.2 i 8.10.2 download.php sprawdza autoryzację względem obiektu Documents, zanim ustali, czy podany identyfikator jest document_revisions.id. Gdy identyfikator wersji jest przesyłany z type=Documents, sprawdzenie dotyczy pustego obiektu Documents, a wersja jest następnie serwowana bez weryfikacji dokumentu nadrzędnego. Użytkownik z niskimi uprawnieniami może wykorzystać tę dezorientację identyfikatorów do pobrania dokumentów należących do administratora lub w inny sposób chronionych.
- CVE-2026-69142Wysokie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 endpoint znaczników mapy jjwg_Maps używa wartości distance uwierzytelnionego wywołującego w akcji map_markers bez ścisłej walidacji numerycznej lub parametryzacji. Uwierzytelniony atakujący może zmodyfikować zapytanie SQL.
- CVE-2026-69141Wysokie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 akcja CasesController action_get_kb_articles interpoluje $_POST['search'] do wyrażenia CASE WHEN ... LIKE oraz klauzuli WHERE SQL. Mimo że securexss() zwykle koduje encjami cudzysłowy, wejście poprzedzone payloadem XSS powoduje, że AntiXSS wybiera przetworzony ciąg zamiast zakodowanej kopii zapasowej, pozwalając literalnemu cudzysłowowi dotrzeć do zapytania.
- CVE-2026-69140Wysokie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 plik GetLatestRevision.php interpoluje get_latest_for_id bezpośrednio do instrukcji SQL UPDATE. Mimo że securexss() zwykle koduje encjami cudzysłowy, wejście poprzedzone payloadem XSS powoduje, że AntiXSS wybiera przetworzony ciąg zamiast zakodowanej kopii zapasowej, pozwalając literalnemu cudzysłowowi dotrzeć do zapytania.
- CVE-2026-69137Wysokie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 akcja testConnection w CalendarAccount przekazuje parametr server_url uwierzytelnionego użytkownika bezpośrednio do curl bez walidacji hosta, adresu ani schematu. Serwer wysyła żądanie PROPFIND ze swojego kontekstu sieciowego i zwraca treści odpowiedzi błędnych, co umożliwia dostęp do usług wewnętrznych, częściowe ujawnienie odpowiedzi, enumerację usług i potencjalny dostęp do metadanych chmury.
- CVE-2026-69136Wysokie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 obsługa załączników szablonów e-mail przepuszcza tablicę parametru POST remove_attachment przez przetwarzanie securexss() zorientowane na HTML i bezpośrednio wstawia jej elementy do zapytania SQL UPDATE. Uwierzytelniony atakujący może wstrzyknąć SQL, aby ujawnić informacje z bazy danych lub wykorzystać kontekst UPDATE do miękkiego usunięcia wszystkich rekordów w tabeli notes jednym żądaniem.
- CVE-2026-69135Wysokie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 moduł Project wstawia parametr POST duplicateId uwierzytelnionego użytkownika bezpośrednio do zapytania SQL bez sanityzacji, cytowania ani parametryzacji. Uwierzytelniony atakujący może zmienić strukturę zapytania i ujawnić poufne informacje z bazy danych.
Oryginalny opis (angielski, źródło NVD)
SuiteCRM is an open-source, enterprise-ready Customer Relationship Management (CRM) software application. Prior to 7.15.2 and 8.10.2, the REST v4 JSON handler reads the pre-filter RAW_REQUEST value and relationship write helpers interpolate supplied field values into INSERT and UPDATE statements. The affected flow begins at $GLOBALS['RAW_REQUEST'] and uses set_relationship, SugarRelationship::addRow(), SugarRelationship::updateRow(), and contact_role to carry attacker-controlled data or authorization state into the security-sensitive operation. An authenticated user can inject SQL through relationship fields to read or alter database data and may reach file-write consequences when the database account has elevated privileges. This issue is fixed in versions 7.15.2 and 8.10.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS