PT-2026-137688
CVE-2026-71550
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
9.9
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
SuiteCRM الإصدارات السابقة لـ 7.15.2
SuiteCRM الإصدارات السابقة لـ 8.10.2
Description
يحتوي متحكم سير العمل في تطبيق إدارة علاقات العملاء هذا على خلل في تجاوز المسار. تحدث المشكلة في الملف
modules/AOW WorkFlow/controller.php حيث تقوم الدالة require once() بمعالجة المتغير aow action دون تقييد الملف الذي يتم الوصول إليه. يمكن للمستخدم المصرح له الذي يمتلك دور WorkFlow استغلال ذلك لتضمين كود PHP قابل للتنفيذ، مما يؤدي إلى تنفيذ كود على جانب الخادم، والوصول غير المصرح به إلى بيانات نظام إدارة علاقات العملاء وأسرار التكوين، وإنشاء وصول دائم.Recommendations
التحديث إلى الإصدار 7.15.2 أو أحدث.
التحديث إلى الإصدار 8.10.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾