CVE-2026-69140

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 starsza metoda portalu SOAP portal_get_entry_list propaguje wartości where i order_by kontrolowane przez wywołującego do konstrukcji zapytania SQL bez wystarczającej neutralizacji. Użytkownik API portalu z niskimi uprawnieniami może przeprowadzić ślepą iniekcję SQL.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 metoda AOR_Report::build_report_query_where uwzględnia parameter_value edytora raportów przy value_type=Field bez wystarczającej walidacji. Uwierzytelniony użytkownik mogący zapisywać raporty może wykorzystać iniekcję SQL do odczytu całej bazy danych SuiteCRM.

W SuiteCRM przed wersjami 7.15.2 i 8.10.2 generowanie raportów AOR ponownie ładuje wartość zapisaną w aor_fields.field i wstawia ją do SQL raportu bez ścisłej walidacji pola. Uwierzytelniony użytkownik mogący konfigurować raporty może wstrzyknąć SQL przez tę zapisaną wartość pola i ujawnić zawartość bazy danych.

W SuiteCRM przed wersjami 7.15.2 i 8.10.2 download.php sprawdza autoryzację względem obiektu Documents, zanim ustali, czy podany identyfikator jest document_revisions.id. Gdy identyfikator wersji jest przesyłany z type=Documents, sprawdzenie dotyczy pustego obiektu Documents, a wersja jest następnie serwowana bez weryfikacji dokumentu nadrzędnego. Użytkownik z niskimi uprawnieniami może wykorzystać tę dezorientację identyfikatorów do pobrania dokumentów należących do administratora lub w inny sposób chronionych.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 endpoint znaczników mapy jjwg_Maps używa wartości distance uwierzytelnionego wywołującego w akcji map_markers bez ścisłej walidacji numerycznej lub parametryzacji. Uwierzytelniony atakujący może zmodyfikować zapytanie SQL.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 akcja CasesController action_get_kb_articles interpoluje $_POST['search'] do wyrażenia CASE WHEN ... LIKE oraz klauzuli WHERE SQL. Mimo że securexss() zwykle koduje encjami cudzysłowy, wejście poprzedzone payloadem XSS powoduje, że AntiXSS wybiera przetworzony ciąg zamiast zakodowanej kopii zapasowej, pozwalając literalnemu cudzysłowowi dotrzeć do zapytania.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 akcja testConnection w CalendarAccount przekazuje parametr server_url uwierzytelnionego użytkownika bezpośrednio do curl bez walidacji hosta, adresu ani schematu. Serwer wysyła żądanie PROPFIND ze swojego kontekstu sieciowego i zwraca treści odpowiedzi błędnych, co umożliwia dostęp do usług wewnętrznych, częściowe ujawnienie odpowiedzi, enumerację usług i potencjalny dostęp do metadanych chmury.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 obsługa załączników szablonów e-mail przepuszcza tablicę parametru POST remove_attachment przez przetwarzanie securexss() zorientowane na HTML i bezpośrednio wstawia jej elementy do zapytania SQL UPDATE. Uwierzytelniony atakujący może wstrzyknąć SQL, aby ujawnić informacje z bazy danych lub wykorzystać kontekst UPDATE do miękkiego usunięcia wszystkich rekordów w tabeli notes jednym żądaniem.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 moduł Project wstawia parametr POST duplicateId uwierzytelnionego użytkownika bezpośrednio do zapytania SQL bez sanityzacji, cytowania ani parametryzacji. Uwierzytelniony atakujący może zmienić strukturę zapytania i ujawnić poufne informacje z bazy danych.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 handler REST v4 JSON odczytuje wartość RAW_REQUEST sprzed filtrowania, a funkcje pomocnicze zapisu relacji wstawiają dostarczone wartości pól do instrukcji INSERT i UPDATE. Uwierzytelniony użytkownik może wstrzyknąć SQL przez pola relacji, aby odczytać lub zmienić dane w bazie, a przy podwyższonych uprawnieniach konta bazy może doprowadzić do zapisu plików.