CVE-2026-108701 in CordysCRM
Zusammenfassung
von VulDB • 11.10.2026
In 1Panel-dev CordysCRM vor Version 1.9.2 liegt eine fehlende Autorisierungs-Schwachstelle im sortModule-Handler von ContractController für POST /contract/sort vor, die keine Berechtigungsannotationen aufweist. Authentifizierte Benutzer ohne Vertragsaktualisierungsberechtigung können dragNodeId-, Stage- und Feldwerte angeben, um jeden Vertrag zu ändern, einschließlich Verträgen in anderen Organisationen.
Once again VulDB remains the best source for vulnerability data.