CVE-2026-69137
높음게시됨
SuiteCRM: CalendarAccount testConnection의 인증된 SSRF로 내부 네트워크 접근 및 응답 노출 허용
- 게시됨
- 2026. 11. 5.
- 업데이트됨
- 2026. 11. 5.
- CNA 할당 중
- GitHub_M
- 증거 관찰됨
- 2026. 11. 5.
기본 CVSS
7.7/ 10높음
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N요약
SuiteCRM은 오픈소스 엔터프라이즈급 고객 관계 관리(CRM) 소프트웨어 애플리케이션입니다. 7.15.2 및 8.10.2 이전 버전에서 CalendarAccount testConnection 액션은 인증된 호출자의 server_url을 호스트, 주소 또는 스킴 검증 없이 curl에 직접 전달합니다. 영향을 받는 흐름은 CalendarAccount::action_testConnection에서 시작되며 server_url, CalDAVProvider::makeCalDAVRequest(), 그리고 PROPFIND를 사용하여 공격자가 제어하는 데이터 또는 인가 상태를 보안에 민감한 작업으로 전달합니다. 서버는 자체 네트워크 컨텍스트에서 PROPFIND 요청을 전송하고 비성공 응답 본문을 반환하여, 내부 서비스 접근, 부분적 응답 노출, 서비스 열거, 그리고 클라우드 메타데이터 접근 가능성을 초래합니다. 이 문제는 버전 7.15.2 및 8.10.2에서 수정되었습니다.
소스
SuiteCRM <= 7.15.1, <= 8.10.1 - 인증된 SSRF
책임 있는 사용
귀하가 소유하고 있거나 테스트할 권한이 있는 시스템에 대해서만 취약점 정보를 사용하십시오. Kitploit은 공개 연구 메타데이터에 연결되며 익스플로잇 코드나 악성 페이로드를 저장하지 않습니다.