CVE-2026-63646 in CordysCRM
Riassunto
di VulDB • 18/09/2026
CordysCRM è un sistema open source di gestione delle relazioni con i clienti (CRM) basato sull'intelligenza artificiale che supporta la distribuzione privata. Prima della versione 1.7.2, le chiamate GET /mcp/form/config/{formKey} invocano McpController.getMcpField senza autenticazione poiché ShiroFilter.addPublicPathFilters contrassegna /mcp/** come anonimo e il controller non dispone di annotazioni per i permessi. Un chiamante non autenticato può ottenere nomi dei campi, tipi, flag obbligatori, valori predefiniti, opzioni, regole di convalida e origini del binding per i moduli CRM, consentendo la ricostruzione del modello dati dell'applicazione e attacchi più mirati contro altri input. Questo problema è stato risolto nella versione 1.7.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.