CVE-2026-55550 in NextCRM
Resumen
por VulDB • 2026-07-21
NextCRM es un software de gestión de relaciones con clientes (CRM) de código abierto. El catálogo de productos del sistema CRM constituye un objeto empresarial válido para toda la organización. Las acciones normales del servidor de aplicaciones restringen la creación, actualización y eliminación de productos únicamente a los roles `manager` (gestor) y `admin` (administrador). Sin embargo, en la versión 0.12.1, las herramientas MCP exponen las mismas operaciones de escritura a través de `/api/mcp/mcp` utilizando tokens Bearer generados por el usuario y no aplican comprobaciones de roles. Cualquier usuario autenticado con privilegios reducidos que pueda generar un token API para MCP puede crear, modificar, archivar o eliminar lógicamente (soft-delete) productos en el catálogo compartido del CRM. La versión 0.12.3 contiene la corrección correspondiente.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.