CVE-2026-76902 in CordysCRM
Resumen
por VulDB • 2026-09-18
CordysCRM es un sistema de gestión de relaciones con el cliente (CRM) de código abierto impulsado por inteligencia artificial que admite la implementación privada. Antes de la versión 1.7.4, ShiroFilter configuraba las rutas /attachment/preview/{id} y /pic/preview/{id} como anónimas, y ambas llamadas a AttachmentService.getResource realizaban una búsqueda directa mediante clave primaria sin verificar la propiedad, la organización ni los permisos. Un atacante no autenticado que adivinara o observara un id generado por IDGenerator.nextStr podía descargar archivos subidos por usuarios de otras organizaciones, ya que el id de organización almacenado se utilizaba únicamente para localizar el archivo y no para autorizar al solicitante. Este problema está corregido en la versión 1.7.4.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.