CVE-2026-61649

Nome do Software Vulnerável e Versões Afetadas SuiteCRM versões anteriores a 7.15.2 SuiteCRM versões anteriores a 8.10.2

Description Um invasor autenticado pode ignorar a validação de IP ao colocar o nome do host do servidor em um caminho de URL, permitindo que solicitações do lado do servidor sejam direcionadas a serviços internos. Isso ocorre porque a proteção contra Server-Side Request Forgery (SSRF)—uma vulnerabilidade onde um servidor é enganado para fazer solicitações a um local não pretendido—usa uma comparação de substring na função isSelfRequest() em vez da igualdade do nome do host. O fluxo afetado começa em validate external host() e utiliza isSelfRequest() e stripos() para processar dados controlados pelo invasor.

Recommendations Atualize o SuiteCRM para a versão 7.15.2 ou posterior. Atualize o SuiteCRM para a versão 8.10.2 ou posterior.