CVE-2026-55544 in NextCRM
요약
\~에 의해 VulDB • 2026. 07. 21.
NextCRM은 오픈소스 고객 관계 관리(CRM) 소프트웨어입니다. 버전 0.12.1에서 MCP 캠페인 도구는 사용자 생성 Bearer API 토큰(`nxtc__...`)을 사용하여 네트워크를 통해 캠페인의 읽기 및 쓰기 작업을 노출합니다. 애플리케이션에는 일반 사용자가 자신이 생성한 캠페인에 접근하도록 제한하는 권한 모델이 있지만, 여러 MCP 캠페인 핸들러는 인증된 사용자 ID를 무시하고 객체 ID만으로 캠페인을 조회하거나 수정합니다. 그 결과, 유효한 MCP API 토큰을 가진 저권한 인증 사용자는 모든 캠페인을 열거하고, 캠페인 세부 정보를 읽으며, 다른 사용자가 소유한 캠페인의 업데이트 또는 삭제를 수행할 수 있고, 캠페인 템플릿 및 단계를 수정하며, 잠재적으로 캠페인 전송을 시작하거나 일시 중지시킬 수도 있습니다. 버전 0.12.2에서 이 문제가 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.