JVNDB-2026-009082

SuiteCRMにおけるSQL インジェクションの脆弱性

SuiteCRMはオープンソースのエンタープライズ対応顧客関係管理（CRM）ソフトウェアアプリケーションです。バージョン7.15.1および8.9.3以前の`include/OutboundEmail/OutboundEmail.php`内の`retrieve()`関数は、ユーザーが制御可能な`$id`パラメータを適切に無害化していません。この`retrieve()`関数を呼び出す関数は、ユーザー入力を適切に引用符で囲みサニタイズすると想定されています。しかし、`Email()`モジュールの`EmailUIAjax`アクションを通じて到達可能な2つの箇所でこの処理がなされていないことが確認されています。このため、認証済みユーザーが`retrieve()`関数を介してSQLインジェクションを実行する可能性があります。この問題は最新の主要バージョン7.15および8.9に影響を与えます。呼び出せるテーブルに制限がないため、攻撃者はユーザー情報やパスワードハッシュを含む任意のデータベース情報を取得できます。バージョン7.15.1および8.9.3でこの問題は修正されています。

SuiteCRM

• SuiteCRM 7.15.1 未満
• SuiteCRM 8.0.0 以上 8.9.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Authenticated Blind SQL Injection in OutboundEmail Legacy Functionality.  Advisory  SuiteCRM/SuiteCRM  GitHub

1. SQLインジェクション(CWE-89) [その他]

1. CVE-2026-29099

1. National Vulnerability Database (NVD) : CVE-2026-29099
2. 関連文書 : 7.15.x Releases :: SuiteCRM Documentation

• [2026年03月27日]
    掲載