VULNERABILIDADDetectada 05 NOV · 16:58

CVE-2026-69145 Inyección SQL en aor_fields.field de AOR Reports en SuiteCRM

En SuiteCRM anterior a 7.15.2 y 8.10.2, la generación de reportes AOR recarga el valor almacenado en aor_fields.field y lo concatena en el SQL del reporte sin validación estricta del campo. Un usuario autenticado que pueda configurar reportes puede inyectar SQL a través de ese valor almacenado y divulgar el contenido de la base de datos. Se corrige en las versiones 7.15.2 y 8.10.2.

6.5MEDIA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,3 % · percentil 17
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

SuiteCRM
< 7.15.2>= 8.0.0, < 8.10.2

Qué hacer

Verificá si usás SuiteCRM y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 6.5 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosBajos
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadAlta
IntegridadNinguna
DisponibilidadNinguna

Descripción original

SuiteCRM is an open-source, enterprise-ready Customer Relationship Management (CRM) software application. Prior to 7.15.2 and 8.10.2, AOR report generation reloads the value stored in aor_fields.field and concatenates it into report SQL without strict field validation. An authenticated user able to configure reports can inject SQL through that stored field value and disclose database contents. This issue is fixed in versions 7.15.2 and 8.10.2.

Referencias (5)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.