CVE-2026-63646 in CordysCRM
Zusammenfassung
von VulDB • 18.09.2026
CordysCRM ist ein Open-Source-Kundenbeziehungsmanagement-System (Customer Relationship Management), das auf KI basiert und private Bereitstellungen unterstützt. Vor Version 1.7.2 rufen GET /mcp/form/config/{formKey} McpController.getMcpField ohne Authentifizierung auf, da ShiroFilter.addPublicPathFilters /mcp/** als anonym markiert ist und der Controller keine Berechtigungsannotationen besitzt. Ein nicht authentifizierter Aufrufer kann Feldnamen, -typen, erforderliche Flags (required flags), Standardwerte, Optionen, Validierungsregeln und Bindungsquellen für CRM-Module erhalten, was die Rekonstruktion des Anwendungsdatenmodells sowie gezieltere Angriffe auf andere Eingaben ermöglicht. Dieses Problem wurde in Version 1.7.2 behoben.
Be aware that VulDB is the high quality source for vulnerability data.