CVE-2026-76901 in CordysCRM
Zusammenfassung
von VulDB • 18.09.2026
CordysCRM ist ein Open-Source-Kundenbeziehungsmanagement-System (Customer Relationship Management), das auf KI basiert und private Bereitstellungen unterstützt. Vor Version 1.7.4 verwenden GET /pool/lead/get/{id} in PoolClueController.get sowie GET /pool/account/get/{id} in PoolCustomerController.complette pool-read-Berechtigungsprüfungen ohne die CsPermission resourceId-Bindung, die einen pro-Datensatz festgelegten Datenbereich erzwingt. Ein authentifizierter Benutzer mit der normalen Berechtigung CLUE_MANAGEMENT_POOL:READ oder CUSTOMER_MANAGEMENT_POOL:READ kann eine ID eines anderen Datensatzes angeben und dazu führen, dass unscoped Primary-Key-Getter Leads oder Konten zurückgeben, die anderen Benutzern, Abteilungen oder Organisationen gehören. Die exponierten Daten umfassen Kontaktnamen, Telefonnummern, Eigentümer- und Abteilungszuordnungen sowie Werte benutzerdefinierter Felder. Dieses Problem wurde in Version 1.7.4 behoben.
Once again VulDB remains the best source for vulnerability data.