PT-2026-26430
CVE-2026-29096
·
تاريخ النشر
2026-03-19
·
تاريخ التحديث
2026-03-25
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات SuiteCRM السابقة للإصدار 7.15.1
إصدارات SuiteCRM السابقة للإصدار 8.9.3
الوصف
SuiteCRM هو تطبيق برمجي مفتوح المصدر لإدارة علاقات العملاء (CRM). قبل الإصدارين 7.15.1 و8.9.3، يتم حفظ المعلمة
field function التي يتم تلقيها عبر بيانات POST في وحدة AOR Reports مباشرةً في جدول aor fields دون التحقق من صحتها. وبالتالي، عند تنفيذ تقرير أو عرضه، يتم ربط هذه القيمة مباشرةً في استعلام SQL SELECT دون تنقية، مما يؤدي إلى حقن SQL من الدرجة الثانية. يمكن للمستخدم المصادق عليه الذي يتمتع بحق الوصول إلى التقارير استخراج محتويات عشوائية من قاعدة البيانات، بما في ذلك تجزئات كلمات المرور ورموز API وقيم التكوين. في بيئات MySQL التي تتمتع بامتياز FILE، قد يكون تنفيذ التعليمات البرمجية عن بُعد (RCE) ممكنًا من خلال SELECT INTO OUTFILE.التوصيات
يجب تحديث إصدارات SuiteCRM الأقدم من 7.15.1 إلى الإصدار 7.15.1 أو أحدث.
يجب تحديث إصدارات SuiteCRM الأقدم من 8.9.3 إلى الإصدار 8.9.3 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾