CVE-2024-50335
Autenticata XSS nel campo "Publish Key" che consente la creazione non autorizzata di utenti amministratore in SuiteCRM
- Pubblicato
- 5 nov 2024
- Aggiornato
- 5 nov 2024
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 4 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:NBasso · prossimi 30 giorni
- Percentile
- 23,5%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
SuiteCRM è un'applicazione software open-source di Customer Relationship Management (CRM) pronta per l'uso aziendale. Il campo "Publish Key" nella pagina Modifica Profilo di SuiteCRM è vulnerabile a Cross-Site Scripting (XSS) riflesso, consentendo a un attaccante di iniettare codice JavaScript dannoso. Questo può essere sfruttato per rubare token CSRF ed eseguire azioni non autorizzate, come la creazione di nuovi utenti amministrativi senza una corretta autenticazione. La vulnerabilità deriva da una validazione e sanificazione insufficiente dell'input del campo Publish Key all'interno dell'applicazione SuiteCRM. Quando un attaccante inietta uno script dannoso, questo viene eseguito nel contesto della sessione di un utente autenticato. Lo script iniettato (o.js) sfrutta quindi il token CSRF catturato per forgiare richieste che creano nuovi utenti amministrativi, compromettendo di fatto l'integrità e la sicurezza dell'istanza CRM. Questo problema è stato risolto nelle versioni 7.14.6 e 8.7.1. Si consiglia agli utenti di eseguire l'aggiornamento. Non sono note soluzioni alternative per questa vulnerabilità.
Fonti
Una vulnerabilità di sicurezza in SuiteCRM che può essere sfruttata per rubare token CSRF ed eseguire azioni non autorizzate, come la creazione di nuovi utenti amministrativi senza un'autenticazione adeguata.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.