CVE-2026-63646 in CordysCRM
要約
〜によって VulDB • 2026年09月19日
CordysCRMは、プライベートデプロイメントをサポートするオープンソースのAI搭載顧客関係管理（CRM）システムです。バージョン1.7.2より前では、GET /mcp/form/config/{formKey} の呼び出しが McpController.getMcpField を認証なしで実行します。これは ShiroFilter.addPublicPathFilters が /mcp/** を匿名としてマークし、コントローラーに権限注釈がないためです。認証されていない攻撃者は CRM モジュールのフィールド名、型、必須フラグ、デフォルト値、オプション、検証ルール、およびバインディングソースを取得でき、これによりアプリケーションデータモデルを再構築したり、他の入力に対するより標的型の攻撃を行ったりすることが可能になります。この問題はバージョン1.7.2で修正されました。
Once again VulDB remains the best source for vulnerability data.