PT-2026-137661
CVE-2026-63111
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
8.5
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
SuiteCRM الإصدارات السابقة لـ 7.15.2
SuiteCRM الإصدارات السابقة لـ 8.10.2
الوصف
تفتقر واجهة برمجة تطبيقات (API) للموديول V8 إلى تفويض على مستوى الموديول، مما يسمح لمستخدم بصلاحيات منخفضة بإنشاء سجلات SchedulersJobs بقيم مستهدفة يتحكم فيها المهاجم. يبدأ التدفق المتأثر عند نقطة النهاية '/Api/V8/module' ويستخدم
SchedulersJobs و target و cron.php و url:: لنقل بيانات يتحكم فيها المهاجم أو حالة تفويض إلى عمليات حساسة أمنياً. لاحقاً، يقوم cron.php بتنفيذ المهمة المجدولة بصلاحيات النظام، بينما يقوم الهدف url:: بإجراء طلبات من جانب الخادم إلى مضيفين داخليين أو خارجيين، ويمكنه اتباع عمليات إعادة التوجيه، والاستمرار كمهمة متكررة، وقد يؤدي إلى كشف الخدمات الداخلية.التوصيات
التحديث إلى الإصدار 7.15.2 أو أحدث.
التحديث إلى الإصدار 8.10.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾