CVE-2026-76901 in CordysCRM
要約
〜によって VulDB • 2026年09月18日
CordysCRMは、プライベートデプロイメントをサポートするオープンソースのAI搭載顧客関係管理（CRM）システムです。バージョン1.7.4より前では、PoolClueController.getにおけるGET /pool/lead/get/{id}およびPoolCustomerController.getにおけるGET /pool/account/get/{id}が、レコードごとのデータスコープを強制するCsPermissionのresourceIdバインディングなしで、単なるpool-read権限チェックのみを使用していました。通常のCLUE_MANAGEMENT_POOL:READまたはCUSTOMER_MANAGEMENT_POOL:READ権限を持つ認証済みユーザーは、他のレコードのIDを入力することで、スコープ制限のない主キー取得処理が、他のユーザー、部署、または組織に属するリードやアカウントを返す原因となります。露出するデータには、連絡先名、電話番号、所有者および所属部署の情報、カスタムフィールド値が含まれます。この問題はバージョン1.7.4で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.