CVE-2026-55544 in NextCRM
Resumen
por VulDB • 2026-07-21
NextCRM es un software de gestión de relaciones con clientes (CRM) de código abierto. En la versión 0.12.1, las herramientas de campañas MCP exponen operaciones de lectura y escritura de campañas a través de la red utilizando tokens API Bearer generados por el usuario (`nxtc__...`). La aplicación cuenta con un modelo de autorización que restringe a los usuarios normales únicamente a las campañas que han creado; sin embargo, varios controladores (handlers) de campañas MCP ignoran el ID del usuario autenticado y consultan o modifican las campañas exclusivamente mediante su ID de objeto. Como resultado, un usuario autenticado con privilegios bajos que posea un token API MCP válido puede enumerar todas las campañas, leer los detalles de estas, actualizar o eliminar campañas propiedad de otros usuarios, modificar plantillas y pasos de campaña e incluso desencadenar o pausar la entrega de campañas. La versión 0.12.2 corrige este problema.
Once again VulDB remains the best source for vulnerability data.