CVE-2026-71550

要約

SuiteCRM の 7.15.2 および 8.10.2 より前のバージョンでは、ワークフローコントローラーが、パストラバーサルが可能な aow_action の値を、解決後のファイルを制限しないまま require_once() で使用している。WorkFlow ロールを持つ認証済みユーザーは、実行可能な PHP をインクルードし、サーバー側でコードを実行して、CRM データや設定上の機密情報にアクセスし、永続的なアクセスを確立できる。この問題は 7.15.2 および 8.10.2 で修正されている。

AI による要約です(公式発表の本文から作成)。

関連(タグ)

SuiteCRMPHP

このタグの新着を RSS で受け取る: SuiteCRM / PHP(使い方)

判定の理由

• CVSS 9.0 以上

出典

公式発表を見る