CVE-2026-29103SuiteCRM是一款开源的企业级客户关系管理软件。在7.15.0和8.9.2版本中发现了一个严重的远程代码执行（RCE）漏洞。该漏洞是CVE-2024-49774的补丁绕过，允许经过身份验证的管理员利用ModuleScanner.php中的PHP令牌解析缺陷，绕过安全控制执行任意系统命令。
该漏洞的根源在于SuiteCRM的`ModuleScanner.php`文件中存在PHP令牌解析逻辑缺陷。虽然供应商试图在7.14.5版本中修复CVE-2024-49774，但底层的解析问题依然存在。具体来说，扫描器在遇到任何单字符令牌（如`=`、`.`或`;`）时，会错误地重置其内部状态（即`$checkFunction`标志）。这种机制允许攻击者通过变量赋值或字符串拼接的方式隐藏危险的函数调用（例如`system()`或`exec()`）。攻击者只需拥有管理员权限，即可构造恶意的PHP文件上传或代码片段，完全绕过MLP（Module Loader Protection）安全控件，最终在服务器端执行任意系统命令，从而完全控制服务器。