VULNERABILIDADDetectada 05 NOV · 16:58

CVE-2026-69135 Inyección SQL autenticada en el módulo Project de SuiteCRM

En SuiteCRM anterior a 7.15.2 y 8.10.2, el módulo Project interpola el parámetro POST duplicateId del llamador autenticado directamente en una consulta SQL sin sanitización, comillas ni parametrización. Un atacante autenticado puede alterar la estructura de la consulta y divulgar información sensible de la base de datos. Se corrige en las versiones 7.15.2 y 8.10.2.

7.1ALTA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,3 % · percentil 21
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

SuiteCRM
< 7.15.2>= 8.0.0, < 8.10.2

Qué hacer

Verificá si usás SuiteCRM y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 7.1 ALTA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosBajos
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadAlta
IntegridadBaja
DisponibilidadNinguna

Descripción original

SuiteCRM is an open-source, enterprise-ready Customer Relationship Management (CRM) software application. Prior to 7.15.2 and 8.10.2, the Project module interpolates the authenticated caller's duplicateId POST parameter directly into a SQL query without sanitization, quoting, or parameterization. An authenticated attacker can alter query structure and disclose sensitive database information. This issue is fixed in versions 7.15.2 and 8.10.2.

Referencias (5)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.