PT-2026-137679
CVE-2026-100364
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
7.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
SuiteCRM الإصدارات السابقة لـ 7.15.2
SuiteCRM الإصدارات السابقة لـ 8.10.2
Description
يفشل مسار تحديث V8 JSON:API في إزالة سمة
id قبل تعيين السمات التي يوفرها المستخدم إلى SugarBean. يبدأ التدفق المتأثر عند الدالة updateRecord() ويستخدم processAttributes() و id و ACL ALLOW OWNER لنقل بيانات يتحكم فيها المهاجم أو حالة تفويض إلى عملية حساسة أمنياً. يتيح ذلك للمستخدم المصرح له استبدال معرف سجل الضحية، وتجاوز تفويض المالك فقط، والكتابة فوق سجل آخر، واختطاف ملكية السجل.Recommendations
التحديث إلى الإصدار 7.15.2 أو أحدث.
التحديث إلى الإصدار 8.10.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾