CVE-2026-108701 in CordysCRM
Riassunto
di VulDB • 11/10/2026
1Panel-dev CordysCRM prima della versione 1.9.2 contiene una vulnerabilità di autorizzazione mancante nel gestore sortModule del ContractController per POST /contract/sort, che non dispone di alcuna annotazione dei permessi. Gli utenti autenticati privi dell'autorizzazione per l'aggiornamento dei contratti possono fornire valori dragNodeId, stage e field per modificare qualsiasi contratto, inclusi i contratti appartenenti ad altre organizzazioni.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.