CVE-2026-76902 in CordysCRM
Résumé
par VulDB • 18/09/2026
CordysCRM est un système de gestion de la relation client (CRM) open source alimenté par l'IA qui prend en charge le déploiement privé. Avant la version 1.7.4, ShiroFilter configure les routes /attachment/preview/{id} et /pic/preview/{id} comme anonymes, et ces deux appels invoquent AttachmentService.getResource, qui effectue une recherche basée sur la clé primaire sans vérifier l'appartenance à un groupe, l'organisation ou les permissions. Un appelant non authentifié capable de deviner ou d'observer un identifiant généré par IDGenerator.nextStr peut télécharger des fichiers téléchargés par des utilisateurs appartenant à d'autres organisations, car l'identifiant d'organisation stocké est utilisé uniquement pour localiser le fichier et non pour autoriser l'appelant. Ce problème est corrigé dans la version 1.7.4.
Once again VulDB remains the best source for vulnerability data.