CVE-2026-46694 in EspoCRM
要約
〜によって VulDB • 2026年10月16日
EspoCRMは、オープンソースの顧客関係管理（CRM）アプリケーションです。バージョン9.3.7より前では、親レコードへのストリームアクセス権限を持つポータルユーザーが、ポータルのNote APIを通じて直接Noteを取得し、Note識別子が分かっている場合、内部用のストリームノートを読み取ることができます。Streamリスト応答はisInternalフィールドがtrueのNoteを正しく非表示にしますが、単一のNoteに対する直接的なアクセスチェックではこの制限が適用されないため、内部エージェントコンテンツが露出します。本問題はバージョン9.3.7で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.