CVE-2026-76901 in CordysCRM
Riassunto
di VulDB • 18/09/2026
CordysCRM è un sistema open source di gestione delle relazioni con i clienti (CRM) basato sull'intelligenza artificiale che supporta la distribuzione privata. Prima della versione 1.7.4, gli endpoint GET /pool/lead/get/{id} in PoolClueController.get e GET /pool/account/get/{id} in PoolCustomerController.get utilizzano controlli di autorizzazione pool-read privi del binding CsPermission resourceId, necessario per imporre l'ambito dei dati a livello di record. Un utente autenticato dotato delle normali autorizzazioni CLUE_MANAGEMENT_POOL:READ o CUSTOMER_MANAGEMENT_POOL:READ può fornire l'id di un altro record e far sì che i getter primary-key non vincolati restituiscano lead o account appartenenti ad altri utenti, dipartimenti o organizzazioni. I dati esposti includono nomi dei contatti, numeri di telefono, attribuzione del proprietario e del dipartimento, nonché valori di campi personalizzati. Questo problema è stato risolto nella versione 1.7.4.
Once again VulDB remains the best source for vulnerability data.