CVE-2026-29098

SuiteCRM, açık kaynaklı ve kurumsal düzeyde bir Müşteri İlişkileri Yönetimi (CRM) yazılım uygulamasıdır. 7.15.1 ve 8.9.3 versiyonlarından önce, `modules/ModuleBuilder/controller.php` dosyasındaki `action_exportCustom` fonksiyonu, `$modules` ve `$name` parametrelerindeki yol aşımı (path traversal) dizilerini düzgün şekilde etkisiz hale getirmez. Her iki parametre daha sonra `modules/ModuleBuilder/MB/MBPackage.php` dosyasındaki `exportCustom` fonksiyonuna ulaşır ve burada dosya okuma ile yazma işlemleri için yol oluştururken kullanılırlar. Bu durum, genellikle bir yönetici olan ve ModuleBuilder modülüne erişimi bulunan bir kullanıcının, alttaki ana makinedeki okunabilir herhangi bir dizinin içeriğini web kök dizinine kopyalayarak onları okunabilir hale getirecek bir istek oluşturmasını mümkün kılar. `ModuleBuilder` modülü hem 7 hem de 8 ana sürümlerinin bir parçası olduğundan, her iki güncel ana sürüm de etkilenmektedir. Bu güvenlik açığı, bir saldırganın okunabilir herhangi bir dizini web kök dizinine kopyalamasına izin verir. Buna `/etc` içeriği gibi sistem dosyaları veya web sunucusunun kök dizini dahildir ve bu durum potansiyel olarak gizli bilgilerin ve ortam değişkenlerinin ifşa olmasına yol açabilir. 7.15.1 ve 8.9.3 versiyonları sorunu gidermektedir.