CVE-2026-63111
Açıklama
SuiteCRM, açık kaynaklı ve kurumsal düzeyde bir Müşteri İlişkileri Yönetimi (CRM) yazılım uygulamasıdır. 7.15.2 ve 8.10.2 sürümlerinden önce, V8 modül API'si modül düzeyinde yetkilendirme eksikliğine sahiptir ve düşük yetkili bir kullanıcının saldırgan tarafından kontrol edilen hedef değerlerle SchedulersJobs kayıtları oluşturmasına izin verir. Etkilenen akış /Api/V8/module adresinde başlar ve saldırgan tarafından kontrol edilen verileri veya yetkilendirme durumunu güvenlik açısından hassas işleme taşımak için SchedulersJobs, target, cron.php ve url:: bileşenlerini kullanır. Cron.php daha sonra kuyruğa alınan işi sistem ayrıcalıklarıyla yürütür ve url:: target; dahili veya harici ana bilgisayarlara sunucu tarafı istekleri yapabilir, yönlendirmeleri takip edebilir, yinelenen bir iş olarak kalıcı olabilir ve dahili servisleri açığa çıkarabilir. Bu sorun 7.15.2 ve 8.10.2 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| SuiteCRM SuiteCRM | < 7.15.2, >= 8.0.0, < 8.10.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.