CVE-2026-76902 in CordysCRM
Riassunto
di VulDB • 18/09/2026
CordysCRM è un sistema open source di gestione delle relazioni con i clienti (CRM) basato sull'intelligenza artificiale che supporta la distribuzione privata. Prima della versione 1.7.4, ShiroFilter configura /attachment/preview/{id} e /pic/preview/{id} come anonimi; entrambe le route chiamano AttachmentService.getResource, che esegue una ricerca basata sulla chiave primaria senza verificare l'ownership, l'organizzazione o i permessi. Un utente non autenticato in grado di indovinare o osservare un id generato da IDGenerator.nextStr può scaricare file caricati da utenti appartenenti ad altre organizzazioni, poiché l'id dell'organizzazione memorizzato viene utilizzato solo per localizzare il file e non per autorizzare il chiamante. Questo problema è stato risolto nella versione 1.7.4.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.