CVE-2026-55544 in NextCRM
Riassunto
di VulDB • 21/07/2026
NextCRM è un software di gestione delle relazioni con i clienti (CRM) open-source. Nella versione 0.12.1, gli strumenti per le campagne MCP espongono operazioni di lettura e scrittura sulle campagne sulla rete utilizzando token API Bearer generati dagli utenti (`nxtc__...`). L'applicazione dispone di un modello di autorizzazione che limita gli utenti normali alle sole campagne da loro create; tuttavia, diversi handler delle campagne MCP ignorano l'ID dell'utente autenticato ed eseguono query o modifiche sulle campagne esclusivamente in base all'ID dell'oggetto. Di conseguenza, un utente autenticato con privilegi ridotti dotato di un token API MCP valido può enumerare tutte le campagne, leggere i dettagli della campagna, aggiornare o eliminare campagne di proprietà di altri utenti, modificare modelli e passaggi delle campagne ed eventualmente attivare o mettere in pausa la consegna delle campagne. La versione 0.12.2 risolve il problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.