CVE-2019-25664SuiteCRM 7.10.7版本存在一个高危的基于时间的盲SQL注入漏洞。该漏洞位于Users模块的DetailView动作中的record参数处。由于后端未对用户输入进行充分的过滤和转义，经过身份验证的攻击者可以通过向index.php端点发送特制的GET请求，成功操纵数据库查询语句。利用此漏洞，攻击者可通过时间延迟技术提取敏感的数据库信息，包括用户凭据等，这对系统安全构成严重威胁。
该漏洞的核心在于SuiteCRM在处理Users模块的DetailView页面请求时，直接将GET参数中的`record`值拼接到SQL查询语句中，而没有使用预编译语句或进行有效的安全过滤。攻击者首先需要获取一个有效的低权限账号并登录系统。随后，通过构造包含SQL语法的时间盲注Payload（例如利用`AND SLEEP(5)`），发送至`index.php?module=Users&action=DetailView&record=1`。如果数据库执行了恶意语句，服务器响应时间将明显延迟。攻击者利用这一特性，结合布尔逻辑或二分查找法，逐个字节地猜解数据库中的表名、字段名及敏感数据（如管理员密码哈希）。由于无需用户交互且攻击复杂度低，该漏洞极易被自动化工具利用。