https://alertas.dupin.com.ar/fabricante/suitecrm/Alertas de vulnerabilidades de SuiteCRM.esThu, 05 Nov 2026 19:58:55 +000010https://alertas.dupin.com.ar/cve/CVE-2026-61653/tg:63562Thu, 05 Nov 2026 19:58:55 +0000VulnerabilidadEn SuiteCRM anterior a 7.15.2 y 8.10.2, modules/Campaigns/PopupCampaignRoi.php interpola $_REQUEST['id'] en SQL; un input con prefijo de payload XSS hace que AntiXSS use una cadena procesada y permita una comilla literal en la consulta. Un usuario autenticado con acceso a Campaigns puede realizar inyección SQL ciega basada en tiempo contra tablas arbitrarias. Se corrige en las versiones 7.15.2 y 8.10.2.https://alertas.dupin.com.ar/cve/CVE-2026-61650/tg:63561Thu, 05 Nov 2026 19:58:55 +0000VulnerabilidadEn SuiteCRM anterior a 7.15.2 y 8.10.2, el endpoint POST /Api/V8/module/{moduleName}/{id}/relationships/{linkFieldName} solo verifica permisos de vista y listado antes de que una relación uno a muchos escriba la clave foránea de un registro destino, sin exigir el permiso de edición. Un usuario de bajos privilegios puede reasignar registros, alterar la propiedad y relaciones relevantes para la seguridad, ampliar el acceso entre usuarios y manipular flujos de trabajo. Se corrige en las versiones 7.15.2 y 8.10.2.https://alertas.dupin.com.ar/cve/CVE-2026-61648/tg:63560Thu, 05 Nov 2026 19:58:54 +0000VulnerabilidadEn SuiteCRM anterior a 7.15.2 y 8.10.2, una condición de reporte Multi controlable por el usuario pasa parameter_value por unencodeMultienum() y concatena el resultado en una cláusula WHERE de SQL; un input con prefijo de payload XSS permite que una comilla literal llegue a la base. Un usuario de bajos privilegios con acceso a AOR Reports puede leer tablas arbitrarias mediante inyección SQL basada en tiempo o UNION y consumir conexiones con expresiones de retardo. Se corrige en las versiones 7.15.2 y 8.10.2.https://alertas.dupin.com.ar/cve/CVE-2026-69137/tg:63559Thu, 05 Nov 2026 19:58:53 +0000VulnerabilidadEn SuiteCRM anterior a 7.15.2 y 8.10.2, la acción testConnection de CalendarAccount pasa el server_url de un llamador autenticado directamente a curl sin validar host, dirección ni esquema. El servidor envía una solicitud PROPFIND desde su contexto de red y devuelve cuerpos de respuesta no exitosos, lo que permite acceso a servicios internos, divulgación parcial de respuestas, enumeración de servicios y posible acceso a metadatos de la nube. Se corrige en las versiones 7.15.2 y 8.10.2.https://alertas.dupin.com.ar/cve/CVE-2026-69144/tg:63558Thu, 05 Nov 2026 19:58:52 +0000VulnerabilidadEn SuiteCRM anterior a 7.15.2 y 8.10.2, download.php verifica la autorización contra un bean Documents antes de resolver si el identificador suministrado es un document_revisions.id; al enviar un UUID de revisión con type=Documents, la verificación apunta a un bean vacío y la revisión se sirve sin comprobar su documento padre. Un usuario autenticado de bajos privilegios puede descargar documentos propiedad de administradores u otros protegidos. Se corrige en las versiones 7.15.2 y 8.10.2.https://alertas.dupin.com.ar/cve/CVE-2026-69135/tg:63557Thu, 05 Nov 2026 19:58:48 +0000VulnerabilidadEn SuiteCRM anterior a 7.15.2 y 8.10.2, el módulo Project interpola el parámetro POST duplicateId del llamador autenticado directamente en una consulta SQL sin sanitización, comillas ni parametrización. Un atacante autenticado puede alterar la estructura de la consulta y divulgar información sensible de la base de datos. Se corrige en las versiones 7.15.2 y 8.10.2.https://alertas.dupin.com.ar/cve/CVE-2026-69136/tg:63556Thu, 05 Nov 2026 19:58:48 +0000VulnerabilidadEn SuiteCRM anterior a 7.15.2 y 8.10.2, el manejo de adjuntos de plantillas de email pasa el array POST remove_attachment por el procesamiento securexss() orientado a HTML e interpola sus elementos directamente en una sentencia SQL UPDATE. Un atacante autenticado puede inyectar SQL para divulgar información de la base o abusar del contexto UPDATE para borrar lógicamente todos los registros de la tabla notes en una sola solicitud. Se corrige en las versiones 7.15.2 y 8.10.2.https://alertas.dupin.com.ar/cve/CVE-2026-69145/tg:63555Thu, 05 Nov 2026 19:58:47 +0000VulnerabilidadEn SuiteCRM anterior a 7.15.2 y 8.10.2, la generación de reportes AOR recarga el valor almacenado en aor_fields.field y lo concatena en el SQL del reporte sin validación estricta del campo. Un usuario autenticado que pueda configurar reportes puede inyectar SQL a través de ese valor almacenado y divulgar el contenido de la base de datos. Se corrige en las versiones 7.15.2 y 8.10.2.https://alertas.dupin.com.ar/cve/CVE-2026-69140/tg:63554Thu, 05 Nov 2026 19:58:46 +0000VulnerabilidadEn SuiteCRM anterior a 7.15.2 y 8.10.2, GetLatestRevision.php interpola get_latest_for_id directamente en una sentencia SQL UPDATE; un input con prefijo de payload XSS permite que una comilla literal llegue a la consulta. Un usuario de bajos privilegios con acceso al módulo Documents puede divulgar datos de la base y actualizar masivamente registros linked_documents, aunque las sentencias apiladas y operaciones DROP o INSERT arbitrarias no son compatibles con este vector. Se corrige en las versiones 7.15.2 y 8.10.2.https://alertas.dupin.com.ar/cve/CVE-2026-69142/tg:63553Thu, 05 Nov 2026 19:58:45 +0000VulnerabilidadEn SuiteCRM anterior a 7.15.2 y 8.10.2, el endpoint de marcadores de jjwg_Maps usa el valor distance del llamador autenticado en la acción map_markers sin validación numérica estricta ni parametrización. Un atacante autenticado puede alterar la consulta SQL, extraer datos de la base, modificar resultados de consultas y consumir recursos. Se corrige en las versiones 7.15.2 y 8.10.2.https://alertas.dupin.com.ar/cve/CVE-2026-69141/tg:63552Thu, 05 Nov 2026 19:58:41 +0000VulnerabilidadEn SuiteCRM anterior a 7.15.2 y 8.10.2, la acción action_get_kb_articles de CasesController interpola $_POST['search'] en una expresión CASE WHEN ... LIKE y en la cláusula WHERE de SQL; un input con prefijo de payload XSS permite que una comilla literal llegue a la consulta. Un usuario de bajos privilegios con acceso al módulo Cases puede realizar inyección SQL ciega y extraer información sensible de la base de datos. Se corrige en las versiones 7.15.2 y 8.10.2.https://alertas.dupin.com.ar/cve/CVE-2026-69134/tg:63551Thu, 05 Nov 2026 19:58:41 +0000VulnerabilidadEn SuiteCRM anterior a 7.15.2 y 8.10.2, el manejador JSON de REST v4 lee el valor RAW_REQUEST previo al filtrado y los helpers de escritura de relaciones interpolan los valores de campo en sentencias INSERT y UPDATE. Un usuario autenticado puede inyectar SQL a través de campos de relación para leer o alterar datos de la base y podría llegar a escritura de archivos si la cuenta de base de datos tiene privilegios elevados. Se corrige en las versiones 7.15.2 y 8.10.2.https://alertas.dupin.com.ar/cve/CVE-2026-71550/tg:63550Thu, 05 Nov 2026 19:58:40 +0000VulnerabilidadEn SuiteCRM anterior a 7.15.2 y 8.10.2, el controlador de flujos de trabajo usa un valor aow_action con capacidad de recorrido de directorios en require_once() sin restringir el archivo resuelto. Un usuario autenticado con el rol WorkFlow puede incluir PHP ejecutable, obtener ejecución de código en el servidor, acceder a datos del CRM y secretos de configuración y establecer acceso persistente. Se corrige en las versiones 7.15.2 y 8.10.2.https://alertas.dupin.com.ar/cve/CVE-2026-71548/tg:63549Thu, 05 Nov 2026 19:58:39 +0000VulnerabilidadEn SuiteCRM anterior a 7.15.2 y 8.10.2, AOR_Report::build_report_query_where incorpora el parameter_value de un editor de reportes cuando value_type=Field sin validación suficiente. Un usuario autenticado que pueda guardar un reporte puede usar inyección SQL para leer toda la base de datos de SuiteCRM, incluidos users.user_hash, tokens OAuth2, registros del CRM, definiciones de reportes y datos de configuración; el conector no permite consultas apiladas, por lo que no se admite escritura directa mediante la…https://alertas.dupin.com.ar/cve/CVE-2026-100365/tg:63548Thu, 05 Nov 2026 19:58:38 +0000VulnerabilidadEn SuiteCRM anterior a 7.15.2 y 8.10.2, la generación de reportes AOR concatena una etiqueta de campo almacenada y controlada por el atacante en una cláusula ORDER BY sin lista de permitidos. Un usuario autenticado con acceso a AOR Reports puede extraer mediante tiempo hashes de contraseñas y datos arbitrarios de tablas y mantener conexiones a la base con expresiones costosas. Se corrige en las versiones 7.15.2 y 8.10.2.