FICHE CVE

CVE-2026-33289

Publiée le 2026-03-20 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations de SuiteCRM antérieures aux versions 7.15.1 et 8.9.3 sont vulnérables à l'injection LDAP lors du processus de connexion. Un attaquant disposant d'identifiants de bas niveau peut manipuler les filtres de recherche pour contourner l'authentification ou extraire des informations système sensibles. Cette faille est facile à exploiter à distance via le réseau et ne nécessite aucune interaction de la part d'autres utilisateurs.

CVSS 3.18.8 ÉLEVÉE

Type de faiblesse

CWE-90

Publiée2026-03-20

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

SuiteCRM is an open-source, enterprise-ready Customer Relationship Management (CRM) software application. Prior to versions 7.15.1 and 8.9.3, an LDAP Injection vulnerability exists in the SuiteCRM authentication flow. The application fails to properly sanitize user-supplied input before embedding it into the LDAP search filter. By injecting LDAP control characters, an unauthenticated attacker can manipulate the query logic, which can lead to authentication bypass or information disclosure. Versions 7.15.1 and 8.9.3 patch the issue.