CVE-2026-69137
WysokieCVSS 7.7Streszczenie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 akcja testConnection w CalendarAccount przekazuje parametr server_url uwierzytelnionego użytkownika bezpośrednio do curl bez walidacji hosta, adresu ani schematu. Serwer wysyła żądanie PROPFIND ze swojego kontekstu sieciowego i zwraca treści odpowiedzi błędnych, co umożliwia dostęp do usług wewnętrznych, częściowe ujawnienie odpowiedzi, enumerację usług i potencjalny dostęp do metadanych chmury.
Ocena ryzyka
Uwierzytelniony atakujący może wykorzystać serwer CRM jako pośrednika do sondowania i uzyskiwania dostępu do zasobów wewnętrznych sieci oraz metadanych chmury, co może prowadzić do eskalacji i wycieku danych.
Rekomendacja
Zaktualizuj SuiteCRM do wersji 7.15.2 lub 8.10.2, a do czasu aktualizacji ogranicz dostęp do funkcji CalendarAccount i egzekwuj walidację adresów URL po stronie serwera.
Inne podatności w SuiteCRM
Zobacz wszystkie- CVE-2026-97377Wysokie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 starsza metoda portalu SOAP portal_get_entry_list propaguje wartości where i order_by kontrolowane przez wywołującego do konstrukcji zapytania SQL bez wystarczającej neutralizacji. Użytkownik API portalu z niskimi uprawnieniami może przeprowadzić ślepą iniekcję SQL.
- CVE-2026-71548Wysokie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 metoda AOR_Report::build_report_query_where uwzględnia parameter_value edytora raportów przy value_type=Field bez wystarczającej walidacji. Uwierzytelniony użytkownik mogący zapisywać raporty może wykorzystać iniekcję SQL do odczytu całej bazy danych SuiteCRM.
- CVE-2026-69145Średnie
W SuiteCRM przed wersjami 7.15.2 i 8.10.2 generowanie raportów AOR ponownie ładuje wartość zapisaną w aor_fields.field i wstawia ją do SQL raportu bez ścisłej walidacji pola. Uwierzytelniony użytkownik mogący konfigurować raporty może wstrzyknąć SQL przez tę zapisaną wartość pola i ujawnić zawartość bazy danych.
- CVE-2026-69144Średnie
W SuiteCRM przed wersjami 7.15.2 i 8.10.2 download.php sprawdza autoryzację względem obiektu Documents, zanim ustali, czy podany identyfikator jest document_revisions.id. Gdy identyfikator wersji jest przesyłany z type=Documents, sprawdzenie dotyczy pustego obiektu Documents, a wersja jest następnie serwowana bez weryfikacji dokumentu nadrzędnego. Użytkownik z niskimi uprawnieniami może wykorzystać tę dezorientację identyfikatorów do pobrania dokumentów należących do administratora lub w inny sposób chronionych.
- CVE-2026-69142Wysokie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 endpoint znaczników mapy jjwg_Maps używa wartości distance uwierzytelnionego wywołującego w akcji map_markers bez ścisłej walidacji numerycznej lub parametryzacji. Uwierzytelniony atakujący może zmodyfikować zapytanie SQL.
- CVE-2026-69141Wysokie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 akcja CasesController action_get_kb_articles interpoluje $_POST['search'] do wyrażenia CASE WHEN ... LIKE oraz klauzuli WHERE SQL. Mimo że securexss() zwykle koduje encjami cudzysłowy, wejście poprzedzone payloadem XSS powoduje, że AntiXSS wybiera przetworzony ciąg zamiast zakodowanej kopii zapasowej, pozwalając literalnemu cudzysłowowi dotrzeć do zapytania.
- CVE-2026-69140Wysokie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 plik GetLatestRevision.php interpoluje get_latest_for_id bezpośrednio do instrukcji SQL UPDATE. Mimo że securexss() zwykle koduje encjami cudzysłowy, wejście poprzedzone payloadem XSS powoduje, że AntiXSS wybiera przetworzony ciąg zamiast zakodowanej kopii zapasowej, pozwalając literalnemu cudzysłowowi dotrzeć do zapytania.
- CVE-2026-69136Wysokie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 obsługa załączników szablonów e-mail przepuszcza tablicę parametru POST remove_attachment przez przetwarzanie securexss() zorientowane na HTML i bezpośrednio wstawia jej elementy do zapytania SQL UPDATE. Uwierzytelniony atakujący może wstrzyknąć SQL, aby ujawnić informacje z bazy danych lub wykorzystać kontekst UPDATE do miękkiego usunięcia wszystkich rekordów w tabeli notes jednym żądaniem.
- CVE-2026-69135Wysokie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 moduł Project wstawia parametr POST duplicateId uwierzytelnionego użytkownika bezpośrednio do zapytania SQL bez sanityzacji, cytowania ani parametryzacji. Uwierzytelniony atakujący może zmienić strukturę zapytania i ujawnić poufne informacje z bazy danych.
- CVE-2026-69134Wysokie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 handler REST v4 JSON odczytuje wartość RAW_REQUEST sprzed filtrowania, a funkcje pomocnicze zapisu relacji wstawiają dostarczone wartości pól do instrukcji INSERT i UPDATE. Uwierzytelniony użytkownik może wstrzyknąć SQL przez pola relacji, aby odczytać lub zmienić dane w bazie, a przy podwyższonych uprawnieniach konta bazy może doprowadzić do zapisu plików.
Oryginalny opis (angielski, źródło NVD)
SuiteCRM is an open-source, enterprise-ready Customer Relationship Management (CRM) software application. Prior to 7.15.2 and 8.10.2, the CalendarAccount testConnection action passes an authenticated caller's server_url directly to curl without host, address, or scheme validation. The affected flow begins at CalendarAccount::action_testConnection and uses server_url, CalDAVProvider::makeCalDAVRequest(), and PROPFIND to carry attacker-controlled data or authorization state into the security-sensitive operation. The server sends a PROPFIND request from its network context and returns non-success response bodies, enabling internal-service access, partial response disclosure, service enumeration, and possible cloud metadata access. This issue is fixed in versions 7.15.2 and 8.10.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS