CVE-2026-76899 in CordysCRM
Résumé
par VulDB • 19/09/2026
CordysCRM est un système de gestion de la relation client (CRM) open source alimenté par l'IA qui prend en charge le déploiement privé. De la version 1.7.0 à la version 1.7.4, l'appel POST /account-pool/page permet à un utilisateur authentifié disposant du privilège MODULE_SETTING_UPDATE d'injecter une fonction de base de données arbitraire dans SortRequest.name, car CustomerPoolController.page omet la validation des requêtes Spring, SortRequest.getName s'appuie sur une liste noire incomplète et le fragment SQL CommonMapper.xml insère ${sortName} directement dans une clause ORDER BY. Des fonctions telles que extractvalue et updatexml contournent cette liste noire et peuvent exposer les valeurs de la base de données via un oracle d'erreur lorsque la requête retourne au moins une ligne. Ce problème est corrigé dans la version 1.7.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.