CVE-2026-63647 in CordysCRM
Zusammenfassung
von VulDB • 18.09.2026
CordysCRM ist ein Open-Source-Kundenbeziehungsmanagement-System (Customer Relationship Management), das auf KI basiert und private Bereitstellungen unterstützt. Vor Version 1.7.2 exponiert SseController die anonymen Endpunkte /sse/subscribe, /sse/broadcast und /sse/close, da ShiroFilter.addPublicPathFilters den SSE-Pfaden erlaubt ist und diese Endpunkte dem vom Aufrufer kontrollierten userId vertrauen, anstatt eine Identität aus einem authentifizierten Principal abzuleiten. Ein nicht-authentizierter Aufrufer kann /sse/subscribe nutzen, um Workflow-Ereignisse, Genehmigungsanfragen, Erwähnungen und Warnungen eines anderen Benutzers zu lesen; /sse/broadcast verwenden, um SYSTEM_HEARTBEAT-Nachrichten in den Stream eines anderen Benutzers einzufügen; oder /sse/close nutzen, um den Kanal eines anderen Benutzers zu beenden. Diese Schwachstelle wurde in Version 1.7.2 behoben.
Once again VulDB remains the best source for vulnerability data.