PT-2026-137678
CVE-2026-100363
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
SuiteCRM الإصدارات السابقة لـ 7.15.2
SuiteCRM الإصدارات السابقة لـ 8.10.2
الوصف
تكشف واجهة برمجة تطبيقات (API) لوحدة V8 عن عمليات CRUD (إنشاء، قراءة، تحديث، حذف) للوحدات المخصصة للمسؤولين فقط لأي مستخدم مصادق عليه عبر OAuth2. يبدأ التدفق المتأثر عند نقطة النهاية '/Api/V8/module' ويستخدم
ACLRoles و ACLActions و Administration لنقل بيانات يتحكم فيها المهاجم أو حالة تفويض إلى عملية حساسة أمنياً. يمكن للمستخدم ذو الصلاحيات المنخفضة إنشاء أدوار، وتغيير مستويات ACL، وربط أدوار مرتفعة، وتعديل التكوين العام للحصول على تحكم مكافئ للمسؤول في بيانات وسلوك نظام إدارة علاقات العملاء (CRM).التوصيات
التحديث إلى الإصدار 7.15.2 أو أحدث.
التحديث إلى الإصدار 8.10.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾