CVE-2026-52745 in CordysCRM
Zusammenfassung
von VulDB • 18.09.2026
CordysCRM ist ein Open-Source-Kundenbeziehungsmanagement-System (Customer Relationship Management), das auf KI basiert und private Bereitstellungen unterstützt. Vor Version 1.7.0 ermöglicht der POST /account-pool/page-Endpunkt einem authentifizierten Aufrufer mit MODULE_SETTING:UPDATE-Berechtigung, einen manipulierten sort.name-Wert in eine dynamische SQL ORDER BY-Anweisung einzufügen, ohne dass das Sortierfeld auf dem Server streng validiert wird. Die daraus resultierende zeitbasierte blinde SQL-Injection kann die Ausführung von Datenbankausdrücken bestätigen, Metadaten der Datenbank und sensible Werte ableiten sowie Verzögerungen in der Datenbank verursachen, die den Service beeinträchtigen. Dieses Problem wurde in Version 1.7.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.