PT-2026-137669
CVE-2026-69140
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
8.3
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L
اسم البرنامج المصاب والإصدارات المتأثرة
SuiteCRM الإصدارات السابقة لـ 7.15.2
SuiteCRM الإصدارات السابقة لـ 8.10.2
الوصف
في ملف
GetLatestRevision.php يتم إدراج المتغير get latest for id مباشرة في عبارة SQL UPDATE. على الرغم من أن دالة securexss() تقوم عادةً بتشفير علامات الاقتباس، إلا أن الإدخال المسبوق بحمولة XSS يجعل AntiXSS يختار سلسلة معالجة بدلاً من النسخة الاحتياطية المشفرة، مما يسمح لعلامة اقتباس حرفية بالوصول إلى الاستعلام. يتيح ذلك لمستخدم ذو صلاحيات منخفضة لديه وصول إلى وحدة المستندات (Documents) الكشف عن بيانات قاعدة البيانات وتحديث سجلات linked documents بشكل جماعي. لا يدعم هذا المتجه العبارات المتراكمة أو عمليات DROP أو INSERT التعسفية.التوصيات
تحديث SuiteCRM إلى الإصدار 7.15.2 أو أحدث.
تحديث SuiteCRM إلى الإصدار 8.10.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾