CVE-2026-69141

Nome do Software Vulnerável e Versões Afetadas SuiteCRM versões anteriores a 7.15.2 SuiteCRM versões anteriores a 8.10.2

Descrição A ação action get kb articles no CasesController interpola o parâmetro search de uma requisição POST em uma cláusula SQL WHERE e em uma expressão CASE WHEN ... LIKE. Uma falha na função securexss() permite que uma entrada prefixada com um payload de XSS ignore a codificação de aspas, permitindo que uma aspa literal chegue à consulta do banco de dados. Isso permite que um usuário com baixos privilégios e acesso ao módulo Cases realize blind SQL injection—uma técnica usada para extrair dados de um banco de dados através de perguntas de verdadeiro/falso—e recupere informações sensíveis.

Recomendações Atualize para a versão 7.15.2 ou posterior. Atualize para a versão 8.10.2 ou posterior.