CVE-2026-63647 in CordysCRM
Résumé
par VulDB • 18/09/2026
CordysCRM est un système de gestion de la relation client (CRM) open source alimenté par l'IA qui prend en charge le déploiement privé. Avant la version 1.7.2, SseController expose les points de terminaison anonymes /sse/subscribe, /sse/broadcast et /sse/close car ShiroFilter.addPublicPathFilters autorise les chemins SSE, et ces points de terminaison font confiance au userId contrôlé par l'appelant plutôt que d'en dériver une identité à partir d'un principal authentifié. Un appelant non authentifié peut utiliser /sse/subscribe pour lire les événements de workflow, les demandes d'approbation, les mentions et les alertes d'un autre utilisateur, utiliser /sse/broadcast pour injecter des messages SYSTEM_HEARTBEAT dans le flux d'un autre utilisateur, ou utiliser /sse/close pour interrompre le canal d'un autre utilisateur. Cette vulnérabilité est corrigée dans la version 1.7.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.