CVE-2026-100363— SuiteCRM V8 REST 模块权限提升漏洞
一分钟漏洞结论
影响对象
SuiteCRM SuiteCRM
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
SuiteCRM 是一款开源的、面向企业级应用的客户关系管理（CRM）软件。在 7.15.2 和 8.10.2 版本之前，其 V8 模块 API 将本应仅限管理员使用的模块的增删改查（CRUD）操作暴露给了任何已通过 OAuth2 认证的用户。受影响的流程始于 端点，并通过 ACLRoles、ACLActions 以及 Administration 组件将攻击者可控的数据或授权状态传入安全敏感的操作中。低权限用户可利用此漏洞创建角色、修改访问控制（ACL）级别、绑定高权限角色，并更改全局配置，从而获得相当于管理员的
可能的 ATT&CK 技术 1 AI
T1548.001 · Setuid and Setgid
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-100363 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
SuiteCRM: Privilege escalation via V8 REST modules (ACLRoles, ACLActions, Administration)
来源: CVE Program / CVE List V5
Vulnerability Description
SuiteCRM is an open-source, enterprise-ready Customer Relationship Management (CRM) software application. Prior to 7.15.2 and 8.10.2, the V8 module API exposes CRUD operations for administrator-only modules to any authenticated OAuth2 user. The affected flow begins at /Api/V8/module and uses ACLRoles, ACLActions, and Administration to carry attacker-controlled data or authorization state into the security-sensitive operation. A low-privileged user can create roles, change ACL levels, bind elevated roles, and alter global configuration to obtain administrator-equivalent control of CRM data and behavior. This issue is fixed in versions 7.15.2 and 8.10.2.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
特权管理不恰当
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-100363 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-100363 的情报信息
请登录查看更多情报信息。
CVE-2026-100363 其他参考 (5)
-
https://github.com/SuiteCRM/SuiteCRM/releases/tag/v7.15.2 x_refsource_MISC
-
https://github.com/SuiteCRM/SuiteCRM-Core/releases/tag/v8.10.2 x_refsource_MISC
-
https://github.com/SuiteCRM/SuiteCRM/security/advisories/GHSA-rxx9-4rg7-c3qp x_refsource_CONFIRM
同批安全公告 · SuiteCRM · 2026-11-05 · 共 31 条
| CVE-2026-71550 | 9.9 CRITICAL | SuiteCRM AOW_WorkFlow 目录遍历至远程代码执行漏洞 |
| CVE-2026-100358 | 9.4 CRITICAL | SuiteCRM 管理端 PHP 注入远程代码执行漏洞 |
| CVE-2026-63214 | 8.8 HIGH | SuiteCRM v4.1 get_entry_list API 已认证 SQL 注入漏洞 |
| CVE-2026-69134 | 8.8 HIGH | SuiteCRM 关系管理 REST API SQL 注入漏洞 |
| CVE-2026-69142 | 8.8 HIGH | SuiteCRM map_markers 参数认证 SQL 注入漏洞 |
| CVE-2026-97377 | 8.8 HIGH | SuiteCRM 认证 SOAP 接口 SQL 注入漏洞 |
| CVE-2026-71548 | 8.8 HIGH | SuiteCRM 认证 SQL 注入漏洞 |
| CVE-2026-100365 | 8.8 HIGH | SuiteCRM 任意认证用户盲注漏洞 |
| CVE-2026-61648 | 8.3 HIGH | SuiteCRM AOR_Report.php SQL 注入漏洞 |
| CVE-2026-61653 | 8.3 HIGH | SuiteCRM 模块 SQL 注入漏洞 |
| CVE-2026-69141 | 8.3 HIGH | SuiteCRM 搜索参数 SQL 注入漏洞 |
| CVE-2026-63215 | 8.3 HIGH | SuiteCRM REST API 时间盲注漏洞 |
| CVE-2026-69140 | 8.3 HIGH | SuiteCRM GetLatestRevision.php 远程 SQL 注入漏洞 |
| CVE-2026-61651 | 8.3 HIGH | SuiteCRM 项目控制器认证 SQL 注入漏洞 |
| CVE-2026-61650 | 8.1 HIGH | SuiteCRM V8 关系创建未授权编辑漏洞 |
| CVE-2026-69137 | 7.7 HIGH | SuiteCRM 认证 SSRF 漏洞 |
| CVE-2026-61649 | 7.7 HIGH | SuiteCRM 子串匹配绕过 SSRF 漏洞 |
| CVE-2026-63213 | 7.2 HIGH | SuiteCRM 路径遍历漏洞 |
| CVE-2026-100361 | 7.1 HIGH | SuiteCRM V8 API 允许修改敏感用户字段 |
| CVE-2026-100364 | 7.1 HIGH | SuiteCRM V8 越权访问与记录所有权劫持漏洞 |
显示前 20 条，共 31 条。 查看全部 → →