CVE-2026-55544 in NextCRM
الملخص
بحسب VulDB • 20/07/2026
NextCRM هو برنامج مفتوح المصدر لإدارة علاقات العملاء (CRM). في الإصدار 0.12.1، تعرض أدوات حملات MCP عمليات القراءة والكتابة الخاصة بالحملات عبر الشبكة باستخدام رموز API من نوع Bearer التي ينشئها المستخدمون (`nxtc__...`). تمتلك التطبيق نموذج تفويض يحدّ المستخدمين العاديين بالحملة التي أنشأوها فقط، لكن معالجات حملات MCP المتعددة تتجاهل معرف المستخدم المصادق عليه وتستعلم عن الحملات أو تعدّلها بناءً على المعرف الفريد للكائن (Object ID) وحسب. ونتيجة لذلك، يمكن لمستخدم مصادق ذي صلاحيات منخفضة يمتلك رمز API صالحًا لـ MCP تعداد جميع الحملات، وقراءة تفاصيل الحملة، وتحديث أو حذف الحملات المملوكة للمستخدمين الآخرين، وتعديل قوالب الخطوات الخاصة بالحملة، وإمكانية تشغيل أو إيقاف تسليم الحملة. يصحّح الإصدار 0.12.2 هذه المشكلة.
Once again VulDB remains the best source for vulnerability data.