CVE-2024-50335

概要

SuiteCRMは、オープンソースでエンタープライズ向けの顧客関係管理（CRM）ソフトウェアアプリケーションです。SuiteCRMのプロフィール編集ページにある「Publish Key」フィールドは、反射型クロスサイトスクリプティング（XSS）に対して脆弱であり、攻撃者が悪意のあるJavaScriptコードを注入できる可能性があります。これを悪用すると、CSRFトークンを窃取し、適切な認証なしに新しい管理者ユーザーを作成するなどの不正な操作を実行できます。この脆弱性は、SuiteCRMアプリケーション内のPublish Keyフィールドに対する入力検証とサニタイズが不十分であるために発生します。攻撃者が悪意のあるスクリプトを注入すると、認証済みユーザーのセッションのコンテキスト内で実行されます。注入されたスクリプト（o.js）は、その後、取得したCSRFトークンを利用して新しい管理者ユーザーを作成するリクエストを偽造し、CRMインスタンスの整合性とセキュリティを効果的に侵害します。この問題はバージョン7.14.6および8.7.1で対処されています。ユーザーはアップグレードすることをお勧めします。この脆弱性に対する既知の回避策はありません。

• CVE-2024-50335PoC

  SuiteCRMのセキュリティ脆弱性で、CSRFトークンを窃取し、適切な認証なしに新しい管理ユーザーを作成するなどの不正な操作を実行するために悪用される可能性があります。