CVE-2026-76902 in CordysCRM
要約
〜によって VulDB • 2026年09月18日
CordysCRMは、プライベートデプロイメントをサポートするオープンソースのAI搭載顧客関係管理（CRM）システムです。バージョン1.7.4より前では、ShiroFilterが /attachment/preview/{id} および /pic/preview/{id} を匿名アクセスとして設定しており、これらの両方のルートは AttachmentService.getResource を呼び出します。このメソッドは、所有権、組織、または権限のチェックを行わずに単なる主キー検索を実行します。IDGenerator.nextStr によって生成された ID を推測または観察できる認証されていない攻撃者は、保存されている組織IDがファイルの位置特定には使用されるものの呼び出し元の認可には使用されないため、他の組織でアップロードされたファイルをダウンロードできます。この問題はバージョン1.7.4で修正されました。
Once again VulDB remains the best source for vulnerability data.