CVE-2026-63646 in CordysCRM
Résumé
par VulDB • 18/09/2026
CordysCRM est un système de gestion de la relation client (CRM) open source alimenté par l'IA qui prend en charge le déploiement privé. Avant la version 1.7.2, les appels à GET /mcp/form/config/{formKey} vers McpController.getMcpField s'exécutent sans authentification car ShiroFilter.addPublicPathFilters marque /mcp/** comme anonyme et que le contrôleur ne possède aucune annotation de permission. Un appelant non authentifié peut obtenir les noms des champs, leurs types, les indicateurs d'obligation (required flags), les valeurs par défaut, les options, les règles de validation et les sources de liaison pour les modules CRM, permettant ainsi la reconstruction du modèle de données de l'application et le lancement d'attaques plus ciblées contre d'autres entrées. Ce problème est corrigé dans la version 1.7.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.