CVE-2026-69137

सारांश

SuiteCRM एक ओपन-सोर्स, एंटरप्राइज़-रेडी कस्टमर रिलेशनशिप मैनेजमेंट (CRM) सॉफ़्टवेयर एप्लिकेशन है। 7.15.2 और 8.10.2 से पहले, CalendarAccount का testConnection एक्शन प्रमाणित कॉलर के server_url को सीधे curl को पास करता है, बिना होस्ट, पता, या स्कीम सत्यापन के। प्रभावित प्रवाह CalendarAccount::action_testConnection से शुरू होता है और हमलावर-नियंत्रित डेटा या प्राधिकरण स्थिति को सुरक्षा-संवेदनशील ऑपरेशन में ले जाने के लिए server_url, CalDAVProvider::makeCalDAVRequest(), और PROPFIND का उपयोग करता है। सर्वर अपने नेटवर्क संदर्भ से एक PROPFIND अनुरोध भेजता है और असफल प्रतिक्रिया बॉडी लौटाता है, जिससे आंतरिक-सेवा पहुँच, आंशिक प्रतिक्रिया प्रकटीकरण, सेवा गणना, और संभावित क्लाउड मेटाडेटा पहुँच सक्षम होती है। यह समस्या संस्करण 7.15.2 और 8.10.2 में ठीक की गई है।

स्रोत

• CVE-2026-69137PoC

  SuiteCRM <= 7.15.1, <= 8.10.1 - प्रमाणित SSRF