willbesec

SuiteCRM: teste de ligação ao calendário permite falsificação de pedidos no servidor

No SuiteCRM, antes das versões 7.15.2 e 8.10.2, a ação de teste de ligação do calendário envia um URL do utilizador autenticado sem validação, permitindo aceder a serviços internos. CVSS 7,7.

  • Identificador: CVE-2026-69137
  • Publicado em: 2026-11-05
  • Pontuação CVSS (Common Vulnerability Scoring System) versão 3.1: 7.7 (HIGH)

Descrição (texto original em inglês):

SuiteCRM is an open-source, enterprise-ready Customer Relationship Management (CRM) software application. Prior to 7.15.2 and 8.10.2, the CalendarAccount testConnection action passes an authenticated caller's server_url directly to curl without host, address, or scheme validation. (texto reduzido: os pormenores técnicos da exploração não são reproduzidos)

  • Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
  • Técnica MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1190, Exploração de aplicação exposta à Internet (Exploit Public-Facing Application)

Fontes

  1. Registo do CVE no NVDnvd.nist.gov
  2. Referência (github.com)github.com
  3. Referência (github.com)github.com
  4. Referência (github.com)github.com
  5. Técnica MITRE ATT&CK T1190attack.mitre.org

Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.