--- title: "SuiteCRM 7.15.2・8.10.2 より前の 31 件（CVE-2026-71550・100358・63214・97377 ほか）: ログイン済みの低権限の利用者による SQL インジェクション 16 件、API の権限確認の不備、コード実行の恐れ" url: https://n-t-p.io/worldsecurity/articles/suitecrm-cve-2026-100358-71550-63214-97377-31-vulnerabilities-sql-injection-api-authorization-fixed-in-7-15-2-8-10-2 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-100358, CVE-2026-100359, CVE-2026-100360, CVE-2026-100361, CVE-2026-100362, CVE-2026-100363, CVE-2026-100364, CVE-2026-100365, CVE-2026-61648, CVE-2026-61649, CVE-2026-61650, CVE-2026-61651, CVE-2026-61653, CVE-2026-63111, CVE-2026-63213, CVE-2026-63214, CVE-2026-63215, CVE-2026-63217, CVE-2026-63218, CVE-2026-69134, CVE-2026-69135, CVE-2026-69136, CVE-2026-69137, CVE-2026-69140, CVE-2026-69141, CVE-2026-69142, CVE-2026-69144, CVE-2026-69145, CVE-2026-71548, CVE-2026-71550, CVE-2026-97377 --- # SuiteCRM 7.15.2・8.10.2 より前の 31 件（CVE-2026-71550・100358・63214・97377 ほか）: ログイン済みの低権限の利用者による SQL インジェクション 16 件、API の権限確認の不備、コード実行の恐れ > **TL;DR:** SuiteCRM 7.15.2・8.10.2 より前の 31 件（CVE-2026-100358・71550・63214・97377 ほか）。ログイン済みの低権限の利用者による SQL インジェクション 16 件、V8 API などの権限確認の不備 9 件、コード実行につながる恐れ 3 件（71550 は CVSS v3.1 9.9・PR:L）、SSRF 2 件。認証不要はユーザー名の探り当て 1 件のみ。severity 案は high。7.15.2・8.10.2 で修正。悪用・勧告の中身・NVD 最終評価は未確認。 **要点** - 認証なしは CVE-2026-100362（OAuth2 の応答の違いでユーザー名を探り当てられる、v4.0 6.9）の 1 件だけで、残り 30 件はログイン済みの利用者や管理者が前提。 - SQL インジェクションが 16 件（6.5〜8.8）。レポート・プロジェクト・キャンペーン・地図・旧式の REST／SOAP などで、顧客データや認証情報を読み出される恐れ。 - CVE-2026-71550（CVSS v3.1 9.9・PR:L）はワークフロー制御部の require_once で、WorkFlow の役割の利用者がサーバー上でコードを動かせる恐れ。100358・63213 は管理者が前提。 - V8 API などで管理者専用モジュールの操作や記録ごとの権限確認が抜けている件が 9 件、SSRF が 2 件。 - 最高 9.9 でも PR:L のため基準では high。EPSS 未付与・KEV 掲載なし。7.15.2（8.x 系は 8.10.2）で修正。悪用・勧告とコミットの中身・NVD 最終評価は未確認。 オープンソースの顧客管理（CRM）ソフト **SuiteCRM** で、2026-11-05 に **31 件**の CVE が NVD に登録されました。登録元はいずれも GitHub で、NVD の状態は Awaiting Analysis または Undergoing Analysis（分析待ち・分析中）です。すべて **7.15.2（8.x 系は 8.10.2）で修正**されたと記載されています。 ほとんどは **ログイン済みの利用者（PR:L）** が前提で、認証なしで突ける（PR:N）のはユーザー名の探り当て 1 件だけです。ただし、最低限の権限の利用者でも、データベース全体の読み出しやサーバー上のコード実行に進める恐れのある件が含まれます。 ## 件数の内訳 | 種類 | 件数 | 点数（GitHub 評価） | CVE | |---|---|---|---| | SQL インジェクション（ログイン済み） | 16 | CVSS v3.1 6.5〜8.8 | 100359・100365・61648・61651・61653・63214・63215・69134・69135・69136・69140・69141・69142・69145・71548・97377 | | API・画面の権限確認の不備 | 9 | 6.5〜8.8（100360 は v4.0 の 7.1、63111 も v4.0 の 7.1） | 100360・100361・100363・100364・61650・63111・63217・63218・69144 | | コード実行につながる恐れ | 3 | **9.9**（71550）／ v4.0 の 9.4（100358、管理者が前提）／7.2（63213、管理者が前提） | 71550・100358・63213 | | サーバー側リクエスト偽造（SSRF） | 2 | 7.7 | 61649・69137 | | ユーザー名の探り当て | 1 | v4.0 の 6.9（**PR:N**） | 100362 | ## 目立つもの - **CVE-2026-71550（CVSS v3.1 9.9、PR:L）**: ワークフローの制御部（modules/AOW_WorkFlow/controller.php）が、パス移動を含められる aow_action の値をそのまま require_once() に渡します。「WorkFlow の役割」を持つログイン済み利用者が、実行可能な PHP を読み込ませてサーバー上でコードを動かし、CRM のデータや設定の秘密に触れ、居座り続ける足がかりを作れる恐れがあります（CWE-98）。 - **CVE-2026-100358（v4.0 9.4、PR:H）**: Studio のドロップダウン編集が、入力を HTML のデコードだけ通して PHP の言語ファイルに書き込み、以後のページ表示で読み込まれます。**管理者**が永続的な PHP を仕込め、キャッシュを消しても残る、と NVD は記載しています（CWE-94）。 - **SQL インジェクション 16 件**: レポート（AOR）、プロジェクト、キャンペーン、ケース、地図、旧式の REST・SOAP のインターフェースなど、入力を SQL 文に直接つなげる箇所が複数見つかっています。うち 4 件（61648・61653・69140・69141）は、入力の無害化（securexss）が「XSS 風の文字列を前置きすると、引用符を無害化しない側の文字列が選ばれる」という性質を使い、引用符が通ってしまう、と説明されています。いずれも低権限の利用者が、顧客データ・認証情報・データベースの構造を読み出す恐れがあるとされ、一部は書き換えや、実行環境次第でさらに進む恐れも記載があります。 - **API の権限確認（V8 API ほか）**: 管理者専用のモジュール（ACL ロールなど）の作成・変更・削除が一般のログイン済み利用者に開かれている（100363、8.8）、非表示・機密指定の項目（user_hash など）が書き込める（100361）、関連づけの作成で編集権限を見ていない（100360・61650）、スケジューラーのジョブを低権限の利用者が作れる（63111）、PDF 生成・レポート表示・文書のダウンロードで記録ごとの閲覧権限を見ていない（63217・63218・69144）などです。 - **SSRF 2 件**: 外部ホストの確認が部分一致のため迂回できる（61649）、カレンダー連携の接続試験で URL を検証せず curl に渡す（69137）。社内ネットワークの資源に到達される恐れがあります。 - **CVE-2026-100362（v4.0 6.9、PR:N）**: OAuth2 のパスワード認可の応答が、ユーザー名の誤りとパスワードの誤りで異なるため、認証なしで有効なユーザー名を探り当てられ、パスワードスプレー・総当たり・ソーシャルエンジニアリングの的を絞られます（CWE-204）。 ## 評価 - 認証が不要なのは 1 件（点数も 6.9 で低い）で、残りはログイン済みの利用者が前提です。最高でも 9.9（PR:L）で、基準では severity は **high** です（PR:L は critical にしない）。 - ただし CRM には顧客の個人情報・商談・メールが集まりやすく、低権限のアカウント（外部のポータル利用者や、パスワードを流用された社員）が足がかりになると影響が大きくなります。 - FIRST の EPSS は、取得時点では確認した 4 件とも未付与でした。CISA の KEV には SuiteCRM は掲載されていません（2026-11-06 に一覧を検索）。実際の攻撃での悪用は、本稿では確認できていません。 ## 対策として考えられること 1. SuiteCRM を **7.15.2（8.x 系は 8.10.2）以降**に更新します。更新後は、カスタムの言語ファイル（custom/ 以下）に身に覚えのない PHP が入っていないかも確認します。 2. 更新までの間、外部に公開している場合は、インターネットから SuiteCRM への接続を VPN や IP 制限で絞ります。特に旧式の API（/service/v4_1/rest.php、SOAP のポータル）と V8 API が不要なら無効にするか、接続元を限ります。 3. 低権限のアカウント・ポータル利用者・API 用の認証情報を棚卸しし、使っていないものを止め、パスワードを変更します（100362 でユーザー名が知られる恐れもあります）。 4. 「WorkFlow の役割」や管理者の権限を、必要な人だけに限ります（71550・100358・63213 の前提です）。 5. ウェブサーバーとデータベースのログで、不自然な SQL の失敗、レポートやプロジェクト画面への異常な POST、/Api/V8/ への管理者モジュールの操作がないかを確認します。 ## 未確認の点 - 実際の攻撃での悪用の有無。 - GitHub の勧告 31 件の本文、修正コミット（SuiteCRM・SuiteCRM-Core の a11f501、d6bca97）、7.15.2・8.10.2 のリリースの中身（本稿では NVD の記述のみ読みました）。 - 点数は NVD 掲載の GitHub 評価で、NVD 自身の評価はまだありません（変わる可能性があります）。 - 7.15.2・8.10.2 より前の版すべてが影響するのか、個々の CVE ごとの影響版の下限。 - 各 CVE を実際に試して再現できるか（本稿では試していません）。 - 点数が v3.1 と v4.0 で混在する件（100358・100360・63111・100362 は v4.0）の比較。 ## 出典 - [NVD CVE-2026-71550 （ワークフローの require_once）](https://nvd.nist.gov/vuln/detail/CVE-2026-71550) — NIST NVD - [NVD CVE-2026-100358 （Studio ドロップダウン編集の PHP 注入）](https://nvd.nist.gov/vuln/detail/CVE-2026-100358) — NIST NVD - [NVD CVE-2026-63214 （旧式 REST の WHERE 句）](https://nvd.nist.gov/vuln/detail/CVE-2026-63214) — NIST NVD - [NVD CVE-2026-97377 （SOAP ポータルの SQL インジェクション）](https://nvd.nist.gov/vuln/detail/CVE-2026-97377) — NIST NVD - [NVD CVE-2026-100363 （V8 API の管理者専用モジュール）](https://nvd.nist.gov/vuln/detail/CVE-2026-100363) — NIST NVD - [NVD CVE-2026-100362 （ユーザー名の探り当て）](https://nvd.nist.gov/vuln/detail/CVE-2026-100362) — NIST NVD - [SuiteCRM GitHub 勧告 GHSA-4773-c8fh-3rww（CVE-2026-100358。NVD の参照先。未取得）](https://github.com/SuiteCRM/SuiteCRM/security/advisories/GHSA-4773-c8fh-3rww) — SuiteCRM - [SuiteCRM GitHub 勧告 GHSA-cx24-rr7r-mxrg（CVE-2026-71550。未取得）](https://github.com/SuiteCRM/SuiteCRM/security/advisories/GHSA-cx24-rr7r-mxrg) — SuiteCRM - [SuiteCRM v7.15.2 リリース（NVD の参照先。未取得）](https://github.com/SuiteCRM/SuiteCRM/releases/tag/v7.15.2) — SuiteCRM - [SuiteCRM-Core v8.10.2 リリース（NVD の参照先。未取得）](https://github.com/SuiteCRM/SuiteCRM-Core/releases/tag/v8.10.2) — SuiteCRM - [FIRST EPSS API（2026-11-06 時点で確認した 4 件は未付与）](https://api.first.org/data/v1/epss?cve=CVE-2026-71550,CVE-2026-100358,CVE-2026-63214,CVE-2026-100362) — FIRST - [CISA Known Exploited Vulnerabilities（2026-11-06 に検索、SuiteCRM の掲載なし）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/suitecrm-cve-2026-100358-71550-63214-97377-31-vulnerabilities-sql-injection-api-authorization-fixed-in-7-15-2-8-10-2