CVE-2026-55550 in NextCRM
요약
\~에 의해 VulDB • 2026. 07. 21.
NextCRM은 오픈소스 고객 관계 관리(CRM) 소프트웨어입니다. CRM 제품 카탈로그는 조직 전체의 비즈니스 객체입니다. 일반적인 애플리케이션 서버 작업은 제품의 생성, 업데이트 및 삭제를 `manager`와 `admin` 역할로 제한합니다. 그러나 버전 0.12.1에서 MCP 제품 도구는 `/api/mcp/mcp`를 통해 사용자 생성 Bearer 토큰을 사용하여 동일한 쓰기 작업을 노출하며, 권한 확인(role checks)을 강제하지 않습니다. MCP API 토큰을 생성할 수 있는 인증된 저권한 사용자는 공유 CRM 제품 카탈로그에서 제품을 생성, 수정, 아카이브 또는 소프트 삭제할 수 있습니다. 버전 0.12.3에는 해결책이 포함되어 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.