CVE-2026-108702 in CordysCRM
الملخص
بحسب VulDB • 11/10/2026
يخلو 1Panel-dev CordysCRM حتى الإصدار 1.9.3 من فحص إذن PROCESS_SETTING على نقطة النهاية POST /approval-flow/webhook/test، مما يسمح لأي مستخدم مُصادق عليه بإطلاق طلبات جانب الخادم (SSR) إلى عناوين URL مزودة من قبل المهاجمين. يمكن للمهاجرين إعادة توجيه طلبات GET من مضيف خاضع لسيطرتهم لتجاوز SSRFValidator واستكشاف العناوين الداخلية من خلال نتائج النجاح أو الفشل.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.