PT-2026-137686
CVE-2026-69141
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
8.3
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L
اسم البرنامج المصاب والإصدارات المتأثرة
SuiteCRM الإصدارات السابقة لـ 7.15.2
SuiteCRM الإصدارات السابقة لـ 8.10.2
الوصف
تقوم إجراء
action get kb articles ضمن CasesController بإدراج المعلمة search من طلب POST في عبارة SQL WHERE وتعبير CASE WHEN ... LIKE. يسمح خلل في دالة securexss() للمدخلات المسبوقة بحمولة XSS بتجاوز ترميز علامات الاقتباس، مما يسمح لعلامة اقتباس حرفية بالوصول إلى استعلام قاعدة البيانات. يتيح ذلك لمستخدم بصلاحيات منخفضة لديه وصول إلى وحدة Cases تنفيذ blind SQL injection—وهي تقنية تُستخدم لاستخراج البيانات من قاعدة البيانات عن طريق طرح أسئلة بصيغة صح أو خطأ—واستعادة معلومات حساسة.التوصيات
التحديث إلى الإصدار 7.15.2 أو أحدث.
التحديث إلى الإصدار 8.10.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾