CVE-2026-76901 in CordysCRM
Résumé
par VulDB • 18/09/2026
CordysCRM est un système de gestion de la relation client (CRM) open source alimenté par l'IA qui prend en charge le déploiement privé. Avant la version 1.7.4, les points de terminaison GET /pool/lead/get/{id} dans PoolClueController.get et GET /pool/account/get/{id} dans PoolCustomerController.get effectuent des vérifications d'autorisation pool-read brutes sans l'association CsPermission resourceId qui impose une portée des données par enregistrement. Un utilisateur authentifié disposant de la permission ordinaire CLUE_MANAGEMENT_POOL:READ ou CUSTOMER_MANAGEMENT_POOL:READ peut fournir l'identifiant (id) d'un autre enregistrement et provoquer le retour, par les accesseurs de clé primaire non limités à une portée, des leads ou comptes appartenant à d'autres utilisateurs, départements ou organisations. Les données exposées incluent les noms de contact, les numéros de téléphone, l'appartenance au propriétaire et au département, ainsi que les valeurs des champs personnalisés. Ce problème est corrigé dans la version 1.7.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.