PT-2026-137680
CVE-2026-100365
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
SuiteCRM الإصدارات السابقة لـ 7.15.2
SuiteCRM الإصدارات السابقة لـ 8.10.2
Description
توجد مشكلة في إنشاء تقارير AOR حيث يتم دمج تسمية حقل مخزنة يتحكم فيها المهاجم في عبارة ORDER BY دون وجود قائمة مسموح بها. يبدأ التدفق المتأثر من AOR Reports ويستخدم
aor fields و ORDER BY وتسمية الحقل لنقل بيانات يتحكم فيها المهاجم إلى عملية حساسة أمنياً. يمكن للمستخدم المصرح له الذي يملك صلاحية الوصول إلى تقارير AOR إجراء استخراج مستند إلى الوقت لملخصات كلمات المرور (password hashes) وبيانات جداول عشوائية، أو إبقاء اتصالات قاعدة البيانات مفتوحة باستخدام تعبيرات مكلفة.Recommendations
تحديث SuiteCRM إلى الإصدار 7.15.2 أو أحدث.
تحديث SuiteCRM إلى الإصدار 8.10.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾