PT-2026-137660
CVE-2026-61653
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
8.3
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L
اسم البرنامج المصاب والإصدارات المتأثرة
SuiteCRM الإصدارات السابقة لـ 7.15.2
SuiteCRM الإصدارات السابقة لـ 8.10.2
Description
يمكن للمستخدم المصرح له الذي يملك صلاحية الوصول إلى الحملات (Campaigns) تنفيذ حقن SQL أعمى يعتمد على الوقت (time-based blind SQL injection) ضد جداول قاعدة بيانات عشوائية. تحدث هذه المشكلة في الملف
modules/Campaigns/PopupCampaignRoi.php حيث يتم دمج المتغير id من مصفوفة $ REQUEST في استعلام SQL. وعلى الرغم من أن الدالة securexss() تقوم عادةً بتشفير علامات الاقتباس ككيانات، إلا أن إدخال بيانات مسبوقة بحمولة XSS يجعل AntiXSS يختار سلسلة نصية معالجة بدلاً من النسخة الاحتياطية المشفرة، مما يسمح بمرور علامة اقتباس حرفية إلى الاستعلام.Recommendations
تحديث SuiteCRM إلى الإصدار 7.15.2 أو أحدث.
تحديث SuiteCRM إلى الإصدار 8.10.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾