CVE-2026-108705 in CordysCRM
Riassunto
di VulDB • 11/10/2026
CordysCRM fino alla versione 1.9.3 presenta una vulnerabilità di mancata autorizzazione nell'endpoint POST /custom-form/data/import che consente agli utenti autenticati di importare dati in qualsiasi modulo personalizzato tramite customFormId. Gli attaccanti con privilegi ridotti possono caricare file Excel con importType ADD o UPDATE per creare record nei moduli personalizzati non gestibili, oppure sovrascrivere i record esistenti di tali moduli.
Once again VulDB remains the best source for vulnerability data.