CVE-2026-29103

CRITICAL CVSS 3.1: 7,2 EPSS 0.35%
Обновлено 24 марта 2026
PHP
Параметр Значение
CVSS 7,2 (CRITICAL)
Уязвимые версии 8.0.0 — 8.9.3
Устранено в версии 7.15.1
Тип уязвимости CWE-94 (Внедрение кода), CWE-358
Поставщик PHP
Публичный эксплойт Нет

SuiteCRM — это готовое к использованию на предприятии программное приложение для управления взаимоотношениями с клиентами (CRM) с открытым исходным кодом. В SuiteCRM 7.15.0 и 8.9.2 существует уязвимость критического удаленного выполнения кода (RCE), позволяющая прошедшим проверку подлинности администраторам выполнять произвольные системные команды. Эта уязвимость представляет собой прямой обход исправления CVE-2024-49774.

Хотя поставщик попытался исправить проблему в версии 7.14.5, основная ошибка в ModuleScanner.php, касающаяся анализа токенов PHP, осталась. Сканер неправильно сбрасывает свое внутреннее состояние (флаг $checkFunction) при обнаружении любого односимвольного токена (например, =, . или ;). Это позволяет злоумышленникам скрывать опасные вызовы функций (например, system(), exec()) с помощью присвоения переменных или конкатенации строк, полностью обходя меры безопасности MLP.

Версии 7.15.1 и 8.9.3 устраняют проблему.

Показать оригинальное описание (EN)

SuiteCRM is an open-source, enterprise-ready Customer Relationship Management (CRM) software application. A Critical Remote Code Execution (RCE) vulnerability exists in SuiteCRM 7.15.0 and 8.9.2, allowing authenticated administrators to execute arbitrary system commands. This vulnerability is a direct Patch Bypass of CVE-2024-49774. Although the vendor attempted to fix the issue in version 7.14.5, the underlying flaw in ModuleScanner.php regarding PHP token parsing remains. The scanner incorrectly resets its internal state ($checkFunction flag) when encountering any single-character token (such as =, ., or ;). This allows attackers to hide dangerous function calls (e.g., system(), exec()) using variable assignments or string concatenation, completely evading the MLP security controls. Versions 7.15.1 and 8.9.3 patch the issue.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Высокие
Нужны права администратора
Участие пользователя
Не требуется
Не нужно действие пользователя

Последствия

Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании

Строка CVSS v3.1

Уязвимые продукты 2

Конфигурация От (включительно) До (исключительно)
Suitecrm Suitecrm
cpe:2.3:a:suitecrm:suitecrm:*:*:*:*:*:*:*:*
7.15.1
Suitecrm Suitecrm
cpe:2.3:a:suitecrm:suitecrm:*:*:*:*:*:*:*:*
8.0.0 8.9.3