CVE-2026-61648

Nome do Software Vulnerável e Versões Afetadas SuiteCRM versões anteriores a 7.15.2 SuiteCRM versões anteriores a 8.10.2

Descrição Um usuário com baixos privilégios e acesso a AOR Reports pode realizar injeção de SQL baseada em tempo ou UNION para ler tabelas arbitrárias e consumir conexões de banco de dados usando expressões de atraso. O problema ocorre porque uma condição de relatório Multi passa a variável parameter value através da função unencodeMultienum() e concatena o resultado em uma cláusula SQL WHERE. Embora o securexss() normalmente codifique aspas, uma entrada prefixada com um payload de XSS faz com que o AntiXSS selecione uma string processada em vez do backup codificado, permitindo que uma aspa literal chegue ao banco de dados.

Recomendações Atualize para a versão 7.15.2 ou posterior. Atualize para a versão 8.10.2 ou posterior.