CVE-2026-76899 in CordysCRM
要約
〜によって VulDB • 2026年09月18日
CordysCRMは、プライベートデプロイメントをサポートするオープンソースのAI搭載顧客関係管理（CRM）システムです。バージョン1.7.0から1.7.4の間、POST /account-pool/pageエンドポイントでは、MODULE_SETTING_UPDATE権限を持つ認証済みユーザーがSortRequest.nameに任意のデータベース関数を挿入できます。これは、CustomerPoolController.pageでSpringのリクエスト検証が行われておらず、SortRequest.getNameが不完全なブラックリストに基づいており、CommonMapper.xml内のソートフラグメントがORDER BY句内に${sortName}を挿入するためです。extractvalueやupdatexmlなどの関数はブラックリストを回避でき、クエリで少なくとも1行が返された場合、エラーOracleを通じてデータベースの値を漏洩させる可能性があります。この問題はバージョン1.7.4で修正されています。
Once again VulDB remains the best source for vulnerability data.