PT-2026-137685
CVE-2026-69134
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
SuiteCRM الإصدارات السابقة لـ 7.15.2
SuiteCRM الإصدارات السابقة لـ 8.10.2
Description
يمكن للمستخدم المصرح له تنفيذ حقن SQL من خلال حقول العلاقات لقراءة بيانات قاعدة البيانات أو تعديلها. يحدث هذا لأن معالج JSON الخاص بـ REST v4 يقرأ قيمة
RAW REQUEST وتقوم مساعدات كتابة العلاقات بإدراج قيم الحقول المقدمة في عبارات INSERT و UPDATE. يتضمن تدفق البيانات $GLOBALS['RAW REQUEST'] ويستخدم الدوال set relationship() و SugarRelationship::addRow() و SugarRelationship::updateRow() و contact role لنقل بيانات يتحكم فيها المهاجم إلى عمليات حساسة أمنياً. إذا كان حساب قاعدة البيانات يتمتع بصلاحيات مرتفعة، فقد يؤدي ذلك إلى عواقب تتعلق بكتابة الملفات.Recommendations
التحديث إلى الإصدار 7.15.2 أو أحدث.
التحديث إلى الإصدار 8.10.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾