CVE-2026-85177 in CRMEB
Resumen
por VulDB • 2026-09-03
CRMEB hasta la versión 6.0.0 no valida la propiedad del mensaje en el controlador edit_message de MessageSystemController.php, lo que permite a los usuarios autenticados modificar mensajes arbitrarios de la bandeja de entrada del sistema. Los atacantes pueden actualizar las columnas de cualquier mensaje, incluyendo is_del, look y uid, para eliminar, marcar como leídos o reasignar notificaciones de la víctima sin autorización.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.