SuiteCRM Studio Dropdown Editor PHP-injektálása adminisztrátori szintű távoli kódfuttatást tesz lehetővé (CVE-2026-100358)

Mi történt

A sérülékenység a Studio Dropdown Editor nevű, kizárólag adminisztrátorok által használható testreszabási felületen található. Amikor egy legördülő listát létrehoznak vagy szerkesztenek, a megadott nevet az html_entity_decode() függvénnyel dolgozzák fel, majd további tisztítás nélkül egy PHP nyelvi fájlba írják a custom/ könyvtár alatt. Ezt a fájlt a későbbi oldalbetöltések során beilleszti a rendszer, így a beinjektált PHP-kód a webkiszolgáló-fiók környezetében fut le.

A támadónak magas jogosultságú hozzáféréssel kell rendelkeznie a SuiteCRM-hez; ha már rendszergazdai jogosultságot szerzett, további felhasználói beavatkozásra nincs szükség. Mivel a kód nem adatként tárolódik, hanem PHP-fájlban marad meg, a gyorsítótár ürítését is túléli, és az alkalmazást, valamint az alapul szolgáló gazdagépet egyaránt érintheti. A CVSS v4.0 pontszám 9,4, azaz kritikus. A CVE-rekord nem közli, hogy aktív kihasználást figyeltek volna meg.

Kit érint

A SuiteCRM 7.15.2 előtti verziói, valamint a SuiteCRM 8.0.0-tól a 8.10.2-t megelőző verziókig terjedő 8.x kiadásai érintettek. A sérülékeny összetevő a Studio Dropdown Editor, amely a saját szerveren üzemeltetett CRM-alkalmazás adminisztrátori szintű testreszabási eszköze.

Mit kell most tenni

1. Ellenőrizze, hogy a SuiteCRM melyik ágát futtatja: a 7.x ágon minden, a 7.15.2 előtti verzió, a 8.x ágon pedig a 8.0.0-tól a 8.10.2-t megelőző verziókig terjedő kiadások érintettek.
2. Tekintse át a karbantartók biztonsági közleményét és a SuiteCRM 7.15.2-es, illetve 8.10.2-es kiadásának kiadási megjegyzéseit. A CVE leírása ezeket a verziókat javított verzióként jelöli meg; a CVE-rekord nem sorol fel kerülő megoldást.
3. Ha a környezete továbbra is érintett verziót futtat, korlátozza a Studio elérését általánosságban, a Dropdown Editorhoz való hozzáférést pedig különösen; csökkentse a rendszergazdai fiókok számát, a rendszergazdai módosítások után pedig figyelje a custom/ könyvtár alatti fájlokat, vagy hasonlítsa őket ismert, tiszta másolatokhoz, hogy kiszűrje a nem várt PHP-kódokat.
4. Ha a javított verzió nem telepíthető gyorsan, gyanús rendszergazdai tevékenység után a webkiszolgáló-fiókot tekintse potenciálisan kompromittáltnak, és vizsgálja felül a gazdagépszintű biztonsági intézkedéseket.

Hogyan észlelhető

Vizsgálja át a custom/ könyvtár alatti, a Studio Dropdown Editor által írt fájlokat, és rendszergazdai módosítások után hasonlítsa össze őket ismert, tiszta másolatokkal. A nyelvi fájlokban megjelenő, nem várt PHP nyitó- vagy zárócímkék, illetve azok a fájlmódosítások, amelyek időben egybeesnek rendszergazdai munkamenetekkel, visszaélésre utalhatnak. Kísérje figyelemmel a Dropdown Editor körüli rendszergazdai tevékenységet, különösen a létrehozási vagy szerkesztési eseményeket, ha azokat olyan fiókokkal hajtják végre, amelyeknek normál esetben nincs testreszabási feladatuk.

A javításon túl

Az adminisztrátori azonosításhoz kötött injektálást könnyű alábecsülni, mert a támadónak már magas jogosultsága van; a kód PHP-fájlban való tartós megmaradása és a webkiszolgáló-fiókként való futtatása miatt azonban ez gazdagépet érintő kompromittálódás, nem pedig szokványos CRM-konfigurációs hiba. A penetrációs teszt vagy a rendszermegerősítési vizsgálat az ilyen injektálási, deszerializációs és hitelesítési gyengeségeket még a kihasználásuk előtt felfedheti (Bevezetési és felmérési szolgáltatások). Az ellátási lánc fegyelmezettsége a másik oldal: ha tudja, hol üzemel a SuiteCRM, és milyen gyorsan adják ki a karbantartók a javításokat, az határozza meg a tényleges kitettségi időablakot (Ellátási lánc védelem és harmadik fél kockázatok).