CVE-2026-71550: Remote Code Execution in SuiteCRM Workflow

CVSS 9,9 | RCE in SuiteCRM tramite path traversal nel controller AOW_WorkFlow.

CVE-2026-71550 è una vulnerabilità di path traversal nel controller modules/AOW_WorkFlow/controller.php di SuiteCRM. Il parametro aow_action viene passato direttamente a require_once() senza validazione, consentendo a un utente autenticato con ruolo WorkFlow di includere file PHP arbitrari e ottenere esecuzione codice remoto. Colpisce SuiteCRM versioni antecedenti a 7.15.2 e 8.10.2.

Il punteggio CVSS è 9,9 (critical). La vulnerabilità richiede autenticazione e il ruolo WorkFlow, ma consente accesso ai dati CRM, ai segreti di configurazione e all'instaurazione di accesso persistente. La patch è stata rilasciata il 2026-11-05, lo stesso giorno della pubblicazione della CVE. Su X sono segnalati 19 post nelle ultime 24 ore con contenuto coerente con la descrizione ufficiale NVD.

Gli amministratori di SuiteCRM devono prioritariamente aggiornare alle versioni corrette (7.15.2 o 8.10.2). Nel frattempo, è critico rivedere gli utenti con assegnazione del ruolo WorkFlow, verificare i log di accesso ai moduli AOW_WorkFlow per attività sospette, e testare gli aggiornamenti in ambiente di staging prima della distribuzione in produzione.

In sintesi

Cosa: Path traversal nel controller modules/AOW_WorkFlow/controller.php consente inclusione di file PHP arbitrari via parametro aow_action in require_once(). CVE-2026-71550 afferisce a SuiteCRM.
Gravità: CVSS 9,9 (critical). Esecuzione codice remoto, accesso a dati CRM e segreti di configurazione, possibilità di persistenza.
Versioni interessate: SuiteCRM < 7.15.2 e < 8.10.2
Correzione: Aggiornare a 7.15.2 o 8.10.2
Stato: Patch disponibile dal 2026-11-05. Non segnalati exploit pubblici nel dataset.
Azione: Priorità: verificare utenti con ruolo WorkFlow, controllare log di accesso modules/AOW_WorkFlow, aggiornare immediatamente.

Fonti: NVD, CVE-2026-71550

← Tutti gli articoli