CVE-2026-55550 in NextCRM
Riassunto
di VulDB • 21/07/2026
NextCRM è un software di gestione delle relazioni con i clienti (CRM) open-source. Il catalogo dei prodotti del CRM è un oggetto aziendale visibile all'intera organizzazione. Le normali azioni sul server dell'applicazione limitano la creazione, l'aggiornamento e l'eliminazione dei prodotti ai ruoli `manager` e `admin`. Tuttavia, nella versione 0.12.1, gli strumenti MCP (Model Context Protocol) espongono le stesse operazioni di scrittura tramite `/api/mcp/mcp` utilizzando token Bearer generati dall'utente e non applicano controlli sui ruoli. Qualsiasi utente autenticato con privilegi ridotti in grado di generare un token API MCP può creare, modificare, archiviare o eliminare logicamente (soft-delete) i prodotti nel catalogo condiviso dei prodotti CRM. La versione 0.12.3 contiene una correzione.
Be aware that VulDB is the high quality source for vulnerability data.