PHP-Injection im SuiteCRM Studio Dropdown Editor ermöglicht Remotecodeausführung mit Administratorrechten (CVE-2026-100358)

Was passiert ist

Die Schwachstelle liegt im Studio Dropdown Editor, einem ausschließlich Administratoren vorbehaltenen Anpassungsbereich. Wird ein Dropdown erstellt oder bearbeitet, wird der angegebene Name mit html_entity_decode() verarbeitet und anschließend ohne weitere Bereinigung in eine PHP-Sprachdatei unter custom/ geschrieben. Diese Datei wird bei späteren Seitenaufrufen eingebunden, sodass der injizierte PHP-Code im Kontext des Webserver-Kontos ausgeführt wird.

Ein Angreifer benötigt hochprivilegierten Zugriff auf SuiteCRM; sobald er über Administratorrechte verfügt, ist keine weitere Benutzerinteraktion erforderlich. Da der Code in einer PHP-Datei und nicht in gespeicherten Daten abgelegt wird, übersteht er das Leeren des Caches und kann sich auf die Anwendung und den zugrunde liegenden Host auswirken. Der CVSS-Wert v4.0 beträgt 9,4 und gilt als kritisch. Im CVE-Eintrag ist nicht angegeben, dass eine aktive Ausnutzung beobachtet wurde.

Wer betroffen ist

Betroffen sind SuiteCRM vor 7.15.2 sowie SuiteCRM 8.0.0 bis vor 8.10.2. Bei der betroffenen Komponente handelt es sich um den Studio Dropdown Editor, ein Anpassungswerkzeug auf Administratorebene in der selbst gehosteten CRM-Anwendung.

Was jetzt zu tun ist

1. Stellen Sie fest, welchen SuiteCRM-Zweig Sie betreiben: auf dem 7.x-Zweig alles vor 7.15.2 und auf dem 8.x-Zweig 8.0.0 bis vor 8.10.2.
2. Sehen Sie sich den Sicherheitshinweis der Maintainer und die Versionshinweise zu SuiteCRM 7.15.2 und 8.10.2 an. In der CVE-Beschreibung sind diese als die Versionen benannt, in denen das Problem behoben ist; im CVE-Eintrag ist kein Workaround aufgeführt.
3. Wenn Ihre Umgebung weiterhin eine betroffene Version einsetzt, schränken Sie den Zugriff auf Studio insgesamt und insbesondere auf den Dropdown Editor ein, begrenzen Sie die Zahl der Administratorkonten und überwachen oder vergleichen Sie Dateien unter custom/ nach administrativen Änderungen auf unerwarteten PHP-Code.
4. Wenn eine korrigierte Version nicht schnell eingespielt werden kann, behandeln Sie das Webserver-Konto nach verdächtigen Administratoraktivitäten als potenziell kompromittiert und prüfen Sie Schutzmaßnahmen auf Host-Ebene.

Wie man es erkennt

Prüfen Sie Dateien unter custom/, die vom Studio Dropdown Editor geschrieben werden, und gleichen Sie diese nach allen administrativen Änderungen mit bekannten, unveränderten Referenzkopien ab. Unerwartete öffnende oder schließende PHP-Tags in Sprachdateien oder Änderungen an diesen Dateien, die zeitlich mit Sitzungen von Administratoren zusammenfallen, können auf Missbrauch hindeuten. Überwachen Sie Administratoraktivitäten rund um den Dropdown Editor, insbesondere Erstellungs- oder Bearbeitungsvorgänge durch Konten, die normalerweise keine Anpassungsaufgaben wahrnehmen.

Über den Patch hinaus

Eine Injection, die Administratorrechte voraussetzt, lässt sich leicht als weniger kritisch einstufen, weil der Angreifer ohnehin hohe Rechte besitzt. Doch die dauerhafte Ablage in einer PHP-Datei und die Ausführung im Kontext des Webserver-Kontos machen daraus eine Kompromittierung des Hosts und keine gewöhnliche CRM-Fehlkonfiguration. Ein Penetrationstest oder eine Härtungsprüfung kann Injection-, Deserialisierungs- und Authentifizierungsschwächen wie diese aufdecken, bevor sie ausgenutzt werden (Implementierungs- und Bewertungsleistungen). Disziplin in der Lieferkette ist der zweite entscheidende Faktor: Wenn Sie wissen, wo SuiteCRM eingesetzt wird und wie schnell die Maintainer Korrekturen bereitstellen, ergibt sich daraus Ihr tatsächliches Gefährdungsfenster (Lieferkettenschutz & Risiken durch Dritte).