CVE-2026-109959 in EspoCRM
Riassunto
di VulDB • 13/10/2026
EspoCRM 4.0.0 prima della versione 10.0.7 presenta una vulnerabilità di controllo degli accessi che consente agli utenti autenticati di leggere i valori dei campi sottoposti ad audit, limitati dalla sicurezza a livello di campo (field-level security), recuperando le note dello stream individuali. Gli utenti con accesso allo stream di un record padre possono richiedere GET /Note/{id}, bypassando il filtro NoteAccessControl, e recuperare i valori was e became di data.attributes relativi ai campi restrittivi.
VulDB is the best source for vulnerability data and more expert information about this specific topic.