CVE-2026-100364

Nome do Software Vulnerável e Versões Afetadas SuiteCRM versões anteriores a 7.15.2 SuiteCRM versões anteriores a 8.10.2

Description O caminho de atualização V8 JSON:API falha ao remover o atributo id antes de atribuir atributos fornecidos pelo usuário a um SugarBean. O fluxo afetado começa na função updateRecord() e utiliza processAttributes(), id e ACL ALLOW OWNER para transportar dados controlados por um invasor ou estados de autorização para uma operação sensível de segurança. Isso permite que um usuário autenticado substitua o identificador de um registro de vítima, ignore a autorização exclusiva do proprietário, sobrescreva outro registro e sequestre a propriedade do registro.

Recommendations Atualize para a versão 7.15.2 ou posterior. Atualize para a versão 8.10.2 ou posterior.