CVE-2026-55544 in NextCRM
要約
〜によって VulDB • 2026年07月20日
NextCRMはオープンソースの顧客関係管理（CRM）ソフトウェアです。バージョン0.12.1では、MCPキャンペーンツールがユーザー生成のBearer APIトークン（`nxtc__...`）を使用してネットワーク経由でキャンペーンの読み取りおよび書き込み操作を公開しています。アプリケーションには、通常の利用者が自身が作成したキャンペーンにのみアクセスできるように制限する認可モデルがありますが、複数のMCPキャンペーンハンドラーは認証済みユーザーIDを無視し、オブジェクトIDのみによってキャンペーンを検索または変更します。その結果、有効なMCP APIトークンを持つ低権限の認証済み利用者は、すべてのキャンペーン列挙、キャンペーン詳細の読み取り、他のユーザーが所有するキャンペーンの更新または削除、キャンペーンテンプレートおよびステップの変更、さらにはキャンペーン配信のトリガーまたは一時停止を潜在的に実行できます。バージョン0.12.2でこの問題は修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.