CVE-2026-69134 Inyección SQL mediante evasión de securexss() en la API REST de gestión de relaciones de SuiteCRM
En SuiteCRM anterior a 7.15.2 y 8.10.2, el manejador JSON de REST v4 lee el valor RAW_REQUEST previo al filtrado y los helpers de escritura de relaciones interpolan los valores de campo en sentencias INSERT y UPDATE. Un usuario autenticado puede inyectar SQL a través de campos de relación para leer o alterar datos de la base y podría llegar a escritura de archivos si la cuenta de base de datos tiene privilegios elevados. Se corrige en las versiones 7.15.2 y 8.10.2.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 29
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
SuiteCRM
< 7.15.2>= 8.0.0, < 8.10.2
Qué hacer
- Verificá si usás SuiteCRM y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.8 ALTA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
SuiteCRM is an open-source, enterprise-ready Customer Relationship Management (CRM) software application. Prior to 7.15.2 and 8.10.2, the REST v4 JSON handler reads the pre-filter RAW_REQUEST value and relationship write helpers interpolate supplied field values into INSERT and UPDATE statements. The affected flow begins at $GLOBALS['RAW_REQUEST'] and uses set_relationship, SugarRelationship::addRow(), SugarRelationship::updateRow(), and contact_role to carry attacker-controlled data or authorization state into the security-sensitive operation. An authenticated user can inject SQL through relationship fields to read or alter database data and may reach file-write consequences when the database account has elevated privileges. This issue is fixed in versions 7.15.2 and 8.10.2.
Referencias (5)
- github.com/SuiteCRM/SuiteCRM/security/advisories/GHSA-3phg-q9w9-4pqw
- github.com/SuiteCRM/SuiteCRM-Core/commit/a11f50180d939f639cc468b5d536e8ad714dfb68
- github.com/SuiteCRM/SuiteCRM/commit/d6bca97a0159ec019a969b86eca32affab3beb7c
- github.com/SuiteCRM/SuiteCRM-Core/releases/tag/v8.10.2
- github.com/SuiteCRM/SuiteCRM/releases/tag/v7.15.2
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.