CVE-2026-46694 in EspoCRM
요약
\~에 의해 VulDB • 2026. 10. 15.
EspoCRM는 오픈 소스 고객 관계 관리(CRM) 애플리케이션입니다. 버전 9.3.7 이전에는 부모 레코드에 대한 스트림 접근 권한을 가진 포털 사용자가 포털 Note API를 통해 Note를 직접 가져와서 note identifier가 알려져 있을 경우 내부 stream note를 읽을 수 있었습니다. Stream list 응답은 isInternal 필드가 true인 notes는 올바르게 숨기지만, 단일 Note에 대한 직접적인 접근 확인에서는 해당 제한이 적용되지 않아 내부 에이전트 콘텐츠가 노출되었습니다. 이 문제는 버전 9.3.7에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.