CVE-2024-50335

SuiteCRM is an open-source, enterprise-ready Customer Relationship Management (CRM) software application. The "Publish Key" field in SuiteCRM's Edit Profile page is vulnerable to Reflected Cross-Site Scripting (XSS), allowing an attacker to inject malicious JavaScript code. This can be exploited to steal CSRF tokens and perform unauthorized actions, such as creating new administrative users without proper authentication. The vulnerability arises due to insufficient input validation and sanitization of the Publish Key field within the SuiteCRM application. When an attacker injects a malicious script, it gets executed within the context of an authenticated user's session. The injected script (o.js) then leverages the captured CSRF token to forge requests that create new administrative users, effectively compromising the integrity and security of the CRM instance. This issue has been addressed in versions 7.14.6 and 8.7.1. Users are advised to upgrade. There are no known workarounds for this vulnerability.
Configurations

Configuration 1 (hide)

OR cpe:2.3:a:salesagility:suitecrm:*:*:*:*:*:*:*:*
cpe:2.3:a:salesagility:suitecrm:*:*:*:*:*:*:*:*

History

08 Nov 2024, 15:09

Type Values Removed Values Added
CVSS v2 : unknown
v3 : 4.9
v2 : unknown
v3 : 5.4
References () https://github.com/salesagility/SuiteCRM/security/advisories/GHSA-8rw6-g96j-3w7m - () https://github.com/salesagility/SuiteCRM/security/advisories/GHSA-8rw6-g96j-3w7m - Vendor Advisory
First Time Salesagility
Salesagility suitecrm
CPE cpe:2.3:a:salesagility:suitecrm:*:*:*:*:*:*:*:*

06 Nov 2024, 18:17

Type Values Removed Values Added
Summary
  • (es) SuiteCRM es una aplicación de software de gestión de relaciones con los clientes (CRM) de código abierto y preparada para empresas. El campo "Clave de publicación" de la página Editar perfil de SuiteCRM es vulnerable a Cross-Site Scripting reflejado (XSS), lo que permite a un atacante inyectar código JavaScript malicioso. Esto se puede aprovechar para robar tokens CSRF y realizar acciones no autorizadas, como crear nuevos usuarios administrativos sin la autenticación adecuada. La vulnerabilidad surge debido a una validación de entrada y una limpieza insuficientes del campo Clave de publicación dentro de la aplicación SuiteCRM. Cuando un atacante inyecta un script malicioso, se ejecuta dentro del contexto de la sesión de un usuario autenticado. El script inyectado (o.js) aprovecha el token CSRF capturado para falsificar solicitudes que crean nuevos usuarios administrativos, lo que compromete de manera efectiva la integridad y la seguridad de la instancia de CRM. Este problema se ha solucionado en las versiones 7.14.6 y 8.7.1. Se recomienda a los usuarios que actualicen. No existen workarounds conocidas para esta vulnerabilidad.

05 Nov 2024, 19:15

Type Values Removed Values Added
New CVE

Information

Published : 2024-11-05 19:15

Updated : 2024-11-08 15:09


NVD link : CVE-2024-50335

Mitre link : CVE-2024-50335

CVE.ORG link : CVE-2024-50335


JSON object : View

Products Affected

salesagility

  • suitecrm
CWE
CWE-79

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')