CVE-2022-50589

Atakujący przesyła specjalnie spreparowane żądanie eksportu, wstrzykując złośliwy kod SQL do parametru 'uid' bez konieczności posiadania jakiegokolwiek konta w systemie. Aplikacja nie waliduje ani nie oczyszcza prawidłowo tej wartości przed przekazaniem jej do zapytania bazodanowego. Skuteczne wykorzystanie podatności klasy CWE-89 (SQL injection) prowadzi do eskalacji uprawnień na poziomie bazy danych, a w konsekwencji do wykonania arbitralnego kodu na serwerze (RCE).

Nieuwierzytelniony atakujący może przejąć pełną kontrolę nad serwerem aplikacji poprzez zdalne wykonanie dowolnego kodu, a także uzyskać dostęp do wszystkich danych przechowywanych w bazie — w tym danych klientów i informacji biznesowych.

Należy niezwłocznie zaktualizować SuiteCRM do wersji 7.12.6 lub nowszej, zgodnie z informacjami w oficjalnych notatkach do wydania producenta (https://docs.suitecrm.com/admin/releases/7.12.x/#_7_12_6). Do czasu wdrożenia patcha zaleca się ograniczenie dostępu sieciowego do funkcji eksportu danych na poziomie firewall lub serwera WWW.

Salesagility SuiteCRM w wersjach wcześniejszych niż 7.12.6

Szczegółowa analiza techniczna podatności została opublikowana przez Exodus Intel (blog z dnia 09.06.2022). Podatność umożliwia atak bez uwierzytelnienia (Auth Bypass), co znacząco podnosi jej praktyczne ryzyko wykorzystania.