CVE-2024-50335

SuiteCRM, açık kaynaklı ve kurumsal düzeyde bir Müşteri İlişkileri Yönetimi (CRM) yazılım uygulamasıdır. SuiteCRM'in Profil Düzenle sayfasındaki "Publish Key" alanı, bir saldırganın kötü amaçlı JavaScript kodu enjekte etmesine olanak tanıyan Yansıtılmış Siteler Arası Betik Çalıştırma (XSS) zafiyetine sahiptir. Bu durum, CSRF belirteçlerini çalmak ve uygun kimlik doğrulama olmadan yeni yönetici kullanıcılar oluşturmak gibi yetkisiz işlemler gerçekleştirmek için istismar edilebilir. Zafiyet, SuiteCRM uygulaması içindeki Publish Key alanının girdi doğrulamasının ve temizlenmesinin yetersiz olmasından kaynaklanmaktadır. Bir saldırgan kötü amaçlı bir betik enjekte ettiğinde, bu betik kimliği doğrulanmış bir kullanıcının oturum bağlamında çalıştırılır. Enjekte edilen betik (o.js), ardından yakalanan CSRF belirtecini kullanarak yeni yönetici kullanıcılar oluşturan istekler üretir ve böylece CRM örneğinin bütünlüğünü ve güvenliğini tehlikeye atar. Bu sorun 7.14.6 ve 8.7.1 sürümlerinde giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Bu zafiyet için bilinen bir geçici çözüm bulunmamaktadır.