CVE-2026-100364— SuiteCRM V8 越权访问与记录所有权劫持漏洞
一分钟漏洞结论
影响对象
SuiteCRM SuiteCRM
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
SuiteCRM 是一款开源且适用于企业级的客户关系管理（CRM）软件应用。在 7.15.2 和 8.10.2 版本之前，V8 JSON:API 的升级路径未能在使用 processAttributes() 方法将用户提供的属性赋给 SugarBean 对象之前移除 id 属性。受影响的执行流程始于 updateRecord() 方法，并通过 processAttributes()、id 以及 ACL_ALLOW_OWNER 将攻击者可控制的数据或授权状态带入安全敏感操作。已认证的攻击者可替换目标记录标识符，绕过“
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-100364 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
SuiteCRM V8 JSON:API processAttributes() Missing ID Filter Allows ACL Bypass and Record Ownership Hijack
来源: CVE Program / CVE List V5
Vulnerability Description
SuiteCRM is an open-source, enterprise-ready Customer Relationship Management (CRM) software application. Prior to 7.15.2 and 8.10.2, the V8 JSON:API update path fails to remove the id attribute before assigning user-supplied attributes to a SugarBean. The affected flow begins at updateRecord() and uses processAttributes(), id, and ACL_ALLOW_OWNER to carry attacker-controlled data or authorization state into the security-sensitive operation. An authenticated user can substitute a victim record identifier, bypass owner-only authorization, overwrite another record, and hijack record ownership. This issue is fixed in versions 7.15.2 and 8.10.2.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
通过用户控制密钥绕过授权机制
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-100364 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-100364 的情报信息
请登录查看更多情报信息。
CVE-2026-100364 其他参考 (5)
-
https://github.com/SuiteCRM/SuiteCRM/releases/tag/v7.15.2 x_refsource_MISC
-
https://github.com/SuiteCRM/SuiteCRM-Core/releases/tag/v8.10.2 x_refsource_MISC
-
https://github.com/SuiteCRM/SuiteCRM/security/advisories/GHSA-8rjm-vpj3-hch8 x_refsource_CONFIRM
同批安全公告 · SuiteCRM · 2026-11-05 · 共 31 条
| CVE-2026-71550 | 9.9 CRITICAL | SuiteCRM AOW_WorkFlow 目录遍历至远程代码执行漏洞 |
| CVE-2026-100358 | 9.4 CRITICAL | SuiteCRM 管理端 PHP 注入远程代码执行漏洞 |
| CVE-2026-69134 | 8.8 HIGH | SuiteCRM 关系管理 REST API SQL 注入漏洞 |
| CVE-2026-100365 | 8.8 HIGH | SuiteCRM 任意认证用户盲注漏洞 |
| CVE-2026-71548 | 8.8 HIGH | SuiteCRM 认证 SQL 注入漏洞 |
| CVE-2026-97377 | 8.8 HIGH | SuiteCRM 认证 SOAP 接口 SQL 注入漏洞 |
| CVE-2026-69142 | 8.8 HIGH | SuiteCRM map_markers 参数认证 SQL 注入漏洞 |
| CVE-2026-63214 | 8.8 HIGH | SuiteCRM v4.1 get_entry_list API 已认证 SQL 注入漏洞 |
| CVE-2026-100363 | 8.8 HIGH | SuiteCRM V8 REST 模块权限提升漏洞 |
| CVE-2026-69141 | 8.3 HIGH | SuiteCRM 搜索参数 SQL 注入漏洞 |
| CVE-2026-63215 | 8.3 HIGH | SuiteCRM REST API 时间盲注漏洞 |
| CVE-2026-61653 | 8.3 HIGH | SuiteCRM 模块 SQL 注入漏洞 |
| CVE-2026-69140 | 8.3 HIGH | SuiteCRM GetLatestRevision.php 远程 SQL 注入漏洞 |
| CVE-2026-61648 | 8.3 HIGH | SuiteCRM AOR_Report.php SQL 注入漏洞 |
| CVE-2026-61651 | 8.3 HIGH | SuiteCRM 项目控制器认证 SQL 注入漏洞 |
| CVE-2026-61650 | 8.1 HIGH | SuiteCRM V8 关系创建未授权编辑漏洞 |
| CVE-2026-69137 | 7.7 HIGH | SuiteCRM 认证 SSRF 漏洞 |
| CVE-2026-61649 | 7.7 HIGH | SuiteCRM 子串匹配绕过 SSRF 漏洞 |
| CVE-2026-63213 | 7.2 HIGH | SuiteCRM 路径遍历漏洞 |
| CVE-2026-100361 | 7.1 HIGH | SuiteCRM V8 API 允许修改敏感用户字段 |
显示前 20 条，共 31 条。 查看全部 → →