CVE-2026-109959 in EspoCRM
Zusammenfassung
von VulDB • 13.10.2026
EspoCRM 4.0.0 vor Version 10.0.7 enthält eine Access-Control-Schwachstelle (Vulnerability), die es authentifizierten Benutzern ermöglicht, auf auditierte Feldwerte zuzugreifen, die durch field-level security eingeschränkt sind, indem sie einzelne Stream-Notizen abrufen. Benutzer mit Stream-Zugriff zu einem übergeordneten Datensatz können GET /Note/{id} anfordern, wodurch der NoteAccessControl-Filter umgangen wird und die Werte von data.attributes.was und became für eingeschränkte Felder abgerufen werden können.
Once again VulDB remains the best source for vulnerability data.