CVE-2026-108703 in CordysCRM
Zusammenfassung
von VulDB • 11.10.2026
CordysCRM bis Version 1.9.3 enthält eine Schwachstelle für fehlende Autorisierung in POST /approval-resource/push, die es authentifizierten Benutzern ermöglicht, beliebige Ressourcen zur Genehmigung einzureichen, ohne Eigentumsprüfungen durchzuführen. Angreifer mit geringen Berechtigungen können willkürliche resourceId-Werte für Verträge, Rechnungen, Angebote oder Bestellungen angeben, um deren Genehmigungsstatus zu ändern und Details der Genehmigung einzusehen.
Once again VulDB remains the best source for vulnerability data.