VULNERABILIDADDetectada 05 NOV · 16:58

CVE-2026-69142 Inyección SQL autenticada en el parámetro distance de map_markers en SuiteCRM

En SuiteCRM anterior a 7.15.2 y 8.10.2, el endpoint de marcadores de jjwg_Maps usa el valor distance del llamador autenticado en la acción map_markers sin validación numérica estricta ni parametrización. Un atacante autenticado puede alterar la consulta SQL, extraer datos de la base, modificar resultados de consultas y consumir recursos. Se corrige en las versiones 7.15.2 y 8.10.2.

8.8ALTA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,4 % · percentil 29
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

SuiteCRM
< 7.15.2>= 8.0.0, < 8.10.2

Qué hacer

Verificá si usás SuiteCRM y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 8.8 ALTA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosBajos
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadAlta
IntegridadAlta
DisponibilidadAlta

Descripción original

SuiteCRM is an open-source, enterprise-ready Customer Relationship Management (CRM) software application. Prior to 7.15.2 and 8.10.2, the jjwg_Maps map marker endpoint uses the authenticated caller's distance value in the map_markers action without strict numeric validation or parameterization. An authenticated attacker can alter the SQL query, extract database data, modify query results, and consume resources. This issue is fixed in versions 7.15.2 and 8.10.2.

Referencias (5)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.