SuiteCRM
SuiteCRM: un amministratore può inserire codice PHP persistente dallo Studio Dropdown Editor
Il problema, secondo i dati ufficiali
- Lo Studio Dropdown Editor di SuiteCRM passa il nome del menu a tendina ($dropdown_name) a html_entity_decode() e lo scrive così com'è in un file di lingua PHP nella cartella custom/, che viene incluso nei caricamenti di pagina successivi.
- Un amministratore può così inserire codice PHP persistente, che viene eseguito con l'account del web server e rimane anche dopo la pulizia della cache.
- Può compromettere riservatezza, integrità e disponibilità dell'applicazione e del server. Serve un account con permessi elevati (amministratore) e l'attacco avviene via rete.
Cosa fare
- Aggiorna SuiteCRM a una di queste versioni o successive, secondo il ramo che usi: 7.15.2, 8.10.2.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- SuiteCRM: prima della 7.15.2; prima della 8.10.2
Fonti ufficiali
- github.com — riferimento
- github.com — riferimento
- github.com — riferimento
- github.com — riferimento
- github.com — riferimento
Descrizione ufficiale (in inglese)
SuiteCRM is an open-source, enterprise-ready Customer Relationship Management (CRM) software application. Prior to 7.15.2 and 8.10.2, the Studio Dropdown Editor passes $dropdown_name through html_entity_decode() and writes the result verbatim into a PHP language file under custom/ that is included on later page loads. An administrator can inject persistent PHP that executes as the web-server account, survives cache clears, and compromises application and host confidentiality, integrity, and availability. This issue is fixed in versions 7.15.2 and 8.10.2.
Non sai se ti riguarda?
Se usi SuiteCRM e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 12 novembre 2026. Prima di intervenire verifica l'avviso del produttore.