CVE-2026-63218— SuiteCRM AOR_Reports 越权访问漏洞
一分钟漏洞结论
影响对象
SuiteCRM SuiteCRM
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
SuiteCRM 是一款开源、面向企业级的客户关系管理（CRM）软件应用。在版本 7.15.2 和 8.10.2 之前， 控制器操作在渲染受保护报表时，未重复执行由 强制实施的记录级访问检查。受影响的流程始于 ，并通过 和 将攻击者控制的数据或授权状态带入安全敏感操作。已认证用户可直接调用该操作，读取报表行及受限模块数据，即使这些报表的可见性被配置为仅限所有者或基于角色。该问题已在版本 7.15.2 和 8.10.2 中修复。
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-63218 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
SuiteCRM: Record-level Authorization Bypass via AOR_Reports changeReportPage
来源: CVE Program / CVE List V5
Vulnerability Description
SuiteCRM is an open-source, enterprise-ready Customer Relationship Management (CRM) software application. Prior to 7.15.2 and 8.10.2, the changeReportPage controller action renders a protected report without repeating the record-level access check enforced by DetailView. The affected flow begins at AOR_Reports and uses changeReportPage, and DetailView to carry attacker-controlled data or authorization state into the security-sensitive operation. An authenticated user can directly invoke the action and read report rows and restricted-module data despite owner-only or role-based report visibility. This issue is fixed in versions 7.15.2 and 8.10.2.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
通过用户控制密钥绕过授权机制
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-63218 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-63218 的情报信息
请登录查看更多情报信息。
CVE-2026-63218 其他参考 (5)
-
https://github.com/SuiteCRM/SuiteCRM/releases/tag/v7.15.2 x_refsource_MISC
-
https://github.com/SuiteCRM/SuiteCRM-Core/releases/tag/v8.10.2 x_refsource_MISC
-
https://github.com/SuiteCRM/SuiteCRM/security/advisories/GHSA-v624-ccrf-9v97 x_refsource_CONFIRM
同批安全公告 · SuiteCRM · 2026-11-05 · 共 31 条
| CVE-2026-71550 | 9.9 CRITICAL | SuiteCRM AOW_WorkFlow 目录遍历至远程代码执行漏洞 |
| CVE-2026-100358 | 9.4 CRITICAL | SuiteCRM 管理端 PHP 注入远程代码执行漏洞 |
| CVE-2026-69134 | 8.8 HIGH | SuiteCRM 关系管理 REST API SQL 注入漏洞 |
| CVE-2026-69142 | 8.8 HIGH | SuiteCRM map_markers 参数认证 SQL 注入漏洞 |
| CVE-2026-97377 | 8.8 HIGH | SuiteCRM 认证 SOAP 接口 SQL 注入漏洞 |
| CVE-2026-71548 | 8.8 HIGH | SuiteCRM 认证 SQL 注入漏洞 |
| CVE-2026-63214 | 8.8 HIGH | SuiteCRM v4.1 get_entry_list API 已认证 SQL 注入漏洞 |
| CVE-2026-100365 | 8.8 HIGH | SuiteCRM 任意认证用户盲注漏洞 |
| CVE-2026-100363 | 8.8 HIGH | SuiteCRM V8 REST 模块权限提升漏洞 |
| CVE-2026-69141 | 8.3 HIGH | SuiteCRM 搜索参数 SQL 注入漏洞 |
| CVE-2026-69140 | 8.3 HIGH | SuiteCRM GetLatestRevision.php 远程 SQL 注入漏洞 |
| CVE-2026-63215 | 8.3 HIGH | SuiteCRM REST API 时间盲注漏洞 |
| CVE-2026-61651 | 8.3 HIGH | SuiteCRM 项目控制器认证 SQL 注入漏洞 |
| CVE-2026-61653 | 8.3 HIGH | SuiteCRM 模块 SQL 注入漏洞 |
| CVE-2026-61648 | 8.3 HIGH | SuiteCRM AOR_Report.php SQL 注入漏洞 |
| CVE-2026-61650 | 8.1 HIGH | SuiteCRM V8 关系创建未授权编辑漏洞 |
| CVE-2026-69137 | 7.7 HIGH | SuiteCRM 认证 SSRF 漏洞 |
| CVE-2026-61649 | 7.7 HIGH | SuiteCRM 子串匹配绕过 SSRF 漏洞 |
| CVE-2026-63213 | 7.2 HIGH | SuiteCRM 路径遍历漏洞 |
| CVE-2026-69136 | 7.1 HIGH | SuiteCRM handleAttachments 函数认证 SQL 注入漏洞 |
显示前 20 条，共 31 条。 查看全部 → →