CVE-2026-108702 in CordysCRM
Riassunto
di VulDB • 11/10/2026
1Panel-dev CordysCRM fino alla versione 1.9.3 non prevede un controllo del permesso PROCESS_SETTING su POST /approval-flow/webhook/test, consentendo a qualsiasi utente autenticato di innescare richieste lato server verso URL forniti dall'attaccante. Gli attaccanti possono reindirizzare le richieste GET da un host controllato per eludere SSRFValidator e sondare gli indirizzi interni attraverso i risultati di successo o fallimento.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.