CVE-2026-76899 in CordysCRM
Riassunto
di VulDB • 18/09/2026
CordysCRM è un sistema open source di gestione delle relazioni con i clienti (CRM) basato sull'intelligenza artificiale che supporta la distribuzione privata. Dalla versione 1.7.0 alla 1.7.4, l'endpoint POST /account-pool/page consente a un chiamante autenticato dotato del permesso MODULE_SETTING_UPDATE di inserire una funzione arbitraria nel database all'interno del campo SortRequest.name, poiché CustomerPoolController.page omette la validazione delle richieste Spring, il metodo SortRequest.getName si affida a un blacklist incompleto e lo snippet CommonMapper.xml per l'ordinamento inserisce ${sortName} direttamente in una clausola ORDER BY. Funzioni come extractvalue e updatexml bypassano la blacklist ed espongono i valori del database tramite un errore oracle quando la query restituisce almeno una riga. Questo problema è stato risolto nella versione 1.7.4.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.