PT-2026-137656
CVE-2026-61648
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
8.3
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L
اسم البرنامج المصاب والإصدارات المتأثرة
SuiteCRM الإصدارات السابقة لـ 7.15.2
SuiteCRM الإصدارات السابقة لـ 8.10.2
الوصف
يمكن لمستخدم بصلاحيات منخفضة لديه وصول إلى AOR Reports تنفيذ حقن SQL يعتمد على الوقت أو UNION لقراءة جداول عشوائية واستهلاك اتصالات قاعدة البيانات باستخدام تعبيرات التأخير. تحدث هذه المشكلة لأن شرط تقرير Multi يمرر المتغير
parameter value عبر دالة unencodeMultienum() ويدمج النتيجة في جملة SQL WHERE. وبينما يقوم securexss() عادةً بتشفير علامات الاقتباس، فإن الإدخال المسبوق بحمولة XSS يجعل AntiXSS يختار سلسلة معالجة بدلاً من النسخة الاحتياطية المشفرة، مما يسمح لعلامة اقتباس حرفية بالوصول إلى قاعدة البيانات.التوصيات
التحديث إلى الإصدار 7.15.2 أو أحدث.
التحديث إلى الإصدار 8.10.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾