PT-2026-137659
CVE-2026-61651
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
8.3
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L
اسم البرنامج المصاب والإصدارات المتأثرة
SuiteCRM الإصدارات السابقة لـ 7.15.2
SuiteCRM الإصدارات السابقة لـ 8.10.2
Description
تقوم إجراء
get end date في Projects Controller بدمج متغير task id في استعلام SQL دون استخدام المعلمات (parameterization). يتيح ذلك لمستخدم مصرح له بصلاحيات منخفضة تنفيذ هجوم blind SQL injection، وهي تقنية تُستخدم لاستخراج المعلومات من قاعدة البيانات عن طريق طرح أسئلة تكون إجابتها بنعم أو لا، وذلك لتعداد مخطط قاعدة البيانات واستخراج بيانات الاعتماد وسجلات العملاء ومحتويات أخرى حساسة.Recommendations
التحديث إلى الإصدار 7.15.2 أو أحدث.
التحديث إلى الإصدار 8.10.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾