CVE-2026-61653

Nome do Software Vulnerável e Versões Afetadas SuiteCRM versões anteriores a 7.15.2 SuiteCRM versões anteriores a 8.10.2

Description Um usuário autenticado com acesso a Campanhas pode realizar uma injeção de SQL cega baseada em tempo contra tabelas arbitrárias do banco de dados. O problema ocorre no arquivo modules/Campaigns/PopupCampaignRoi.php, onde a variável id do array $ REQUEST é interpolada em uma consulta SQL. Embora a função securexss() normalmente codifique aspas em entidades, o fornecimento de uma entrada prefixada com um payload de XSS faz com que o AntiXSS selecione uma string processada em vez do backup codificado, permitindo que uma aspa literal chegue à consulta.

Recommendations Atualize o SuiteCRM para a versão 7.15.2 ou posterior. Atualize o SuiteCRM para a versão 8.10.2 ou posterior.