CVE-2026-69134

SuiteCRM açıq mənbəli, müəssisələr üçün hazır Müştəri Münasibətlərinin İdarə Edilməsi (CRM) proqram təminatı tətbiqidir. 7.15.2 və 8.10.2 versiyalarından əvvəl, REST v4 JSON handler pre-filter RAW_REQUEST dəyərini oxuyur və relationship yazma köməkçiləri təqdim edilmiş sahə dəyərlərini INSERT və UPDATE ifadələrinə interpolasiya edir. Təsirə məruz qalan axın $GLOBALS['RAW_REQUEST'] hissəsindən başlayır və hücumçu tərəfindən idarə olunan məlumatları və ya avtorizasiya vəziyyətini təhlükəsizlik baxımından həssas əməliyyata ötürmək üçün set_relationship, SugarRelationship::addRow(), SugarRelationship::updateRow() və contact_role funksiyalarından istifadə edir. Autentifikasiya olunmuş istifadəçi relationship sahələri vasitəsilə SQL inyeksiyası edərək verilənlər bazası məlumatlarını oxuya və ya dəyişdirə bilər və verilənlər bazası hesabının yüksək imtiyazları olduqda fayla yazıla bilmə nəticələrinə nail ola bilər. Bu problem 7.15.2 və 8.10.2 versiyalarında düzəldilmişdir.