PT-2026-137657
CVE-2026-61649
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
7.7
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
SuiteCRM الإصدارات السابقة لـ 7.15.2
SuiteCRM الإصدارات السابقة لـ 8.10.2
Description
يمكن للمهاجم المصرح له تجاوز التحقق من عنوان IP عن طريق وضع اسم مضيف الخادم في مسار URL، مما يسمح بتوجيه طلبات الخادم إلى خدمات داخلية. يحدث هذا لأن حماية تزوير الطلبات عبر الخادم (SSRF)—وهي ثغرة يتم فيها خداع الخادم لإرسال طلبات إلى موقع غير مقصود—تستخدم مقارنة سلسلة نصية فرعية في دالة
isSelfRequest() بدلاً من تطابق اسم المضيف. يبدأ التدفق المتأثر عند validate external host() ويستخدم isSelfRequest() و stripos() لمعالجة بيانات يتحكم فيها المهاجم.Recommendations
تحديث SuiteCRM إلى الإصدار 7.15.2 أو أحدث.
تحديث SuiteCRM إلى الإصدار 8.10.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾