CVE-2026-69134

Nome do Software Vulnerável e Versões Afetadas SuiteCRM versões anteriores a 7.15.2 SuiteCRM versões anteriores a 8.10.2

Description Um usuário autenticado pode realizar a injeção de SQL por meio de campos de relacionamento para ler ou modificar informações do banco de dados. Isso ocorre porque o manipulador JSON do REST v4 lê o valor de RAW REQUEST e os auxiliares de gravação de relacionamento interpolam valores de campo fornecidos em instruções INSERT e UPDATE. O fluxo de dados envolve $GLOBALS['RAW REQUEST'] e utiliza as funções set relationship(), SugarRelationship::addRow(), SugarRelationship::updateRow() e contact role para transportar dados controlados por um invasor para operações sensíveis de segurança. Se a conta do banco de dados possuir privilégios elevados, isso pode resultar em operações de gravação de arquivos não autorizadas.

Recommendations Atualize para a versão 7.15.2 ou posterior. Atualize para a versão 8.10.2 ou posterior.