CVE-2026-55550 in NextCRM
要約
〜によって VulDB • 2026年07月20日
NextCRMはオープンソースの顧客関係管理（CRM）ソフトウェアです。CRM製品カタログは組織全体のビジネスオブジェクトです。通常のアプリケーションサーバーアクションでは、製品の作成、更新、削除が`manager`および`admin`ロールに制限されています。しかし、バージョン0.12.1では、MCPプロダクトツールがユーザー生成のBearerトークンを使用して `/api/mcp/mcp` 経由で同じ書き込み操作を公開し、ロールチェックを実施していません。MCP APIトークンを生成できる認証済み低権限ユーザーであれば、共有CRM製品カタログ内の製品の作成、変更、アーカイブ化、またはソフトデリートを行うことができます。バージョン0.12.3には修正が含まれています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.