CVE-2026-55550 in NextCRM
Zusammenfassung
von VulDB • 21.07.2026
NextCRM ist eine Open-Source-Customer-Relationship-Management-(CRM)-Software. Der Produktkatalog des CRM stellt ein unternehmensweites Geschäftsobjekt dar. Normale Aktionen auf dem Anwendungsserver beschränken das Erstellen, Aktualisieren und Löschen von Produkten auf die Rollen „Manager“ und „Admin“. In Version 0.12.1 exponieren jedoch die MCP-Produkttools dieselben Schreiboperationen über `/api/mcp/mcp` unter Verwendung benutzergenerierter Bearer-Tokens und erzwingen keine Rollenzuordnungsprüfungen (Role Checks). Jeder authentifizierte Benutzer mit niedrigen Berechtigungen, der einen MCP-API-Token generieren kann, ist in der Lage, Produkte im gemeinsamen CRM-Produktkatalog zu erstellen, zu ändern, archivieren oder soft-zulöschen. Version 0.12.3 enthält eine Korrektur.
Once again VulDB remains the best source for vulnerability data.