CVE-2024-50335

总结

SuiteCRM 是一款开源、面向企业的客户关系管理（CRM）软件应用。SuiteCRM 的“编辑个人资料”页面中的“发布密钥”（Publish Key）字段存在反射型跨站脚本（XSS）漏洞，允许攻击者注入恶意 JavaScript 代码。该漏洞可被利用来窃取 CSRF 令牌并执行未经授权的操作，例如在未经过适当身份验证的情况下创建新的管理员用户。该漏洞源于 SuiteCRM 应用对“发布密钥”字段的输入验证和清理不足。当攻击者注入恶意脚本时，该脚本会在已认证用户的会话上下文中执行。注入的脚本（o.js）随后利用捕获的 CSRF 令牌伪造请求，创建新的管理员用户，从而有效破坏 CRM 实例的完整性和安全性。此问题已在 7.14.6 和 8.7.1 版本中得到修复。建议用户升级。目前没有针对此漏洞的已知变通方案。

• CVE-2024-50335PoC

  SuiteCRM中的一个安全漏洞，可被利用来窃取CSRF令牌并执行未经授权的操作，例如在未正确认证的情况下创建新的管理员用户。