CVE-2026-63647 in CordysCRM
要約
〜によって VulDB • 2026年09月19日
CordysCRMは、プライベートデプロイメントをサポートするオープンソースのAI搭載顧客関係管理（CRM）システムです。バージョン1.7.2より前では、ShiroFilter.addPublicPathFiltersがSSEパスを許可しているため、SseControllerは匿名の/sse/subscribe、/sse/broadcast、および/sse/closeエンドポイントを公開しており、これらのエンドポイントは認証済みプリンシパルからIDを取得するのではなく、呼び出し元制御のuserIdを信頼しています。認証されていない攻撃者は、/sse/subscribeを使用して他のユーザーのワークフローイベント、承認リクエスト、メンション、アラートを読み取ったり、/sse/broadcastを使用してSYSTEM_HEARTBEATメッセージを他のユーザーのストリームに注入したり、または/sse/closeを使用して他のユーザーのチャネルを終了させることができます。この脆弱性は1.7.2で修正されています。
Once again VulDB remains the best source for vulnerability data.