CVE-2026-76902 in CordysCRM
요약
\~에 의해 VulDB • 2026. 09. 19.
CordysCRM은 프라이빗 배포를 지원하는 오픈 소스 AI 기반 고객 관계 관리(CRM) 시스템입니다. 버전 1.7.4 이전에서는 ShiroFilter가 /attachment/preview/{id} 및 /pic/preview/{id} 경로를 익명으로 구성하며, 두 경로 모두 AttachmentService.getResource 메서드를 호출합니다. 이 메서드는 소유권, 조직 또는 권한 확인 없이 단순 기본 키(primary-key) 조회만 수행합니다. IDGenerator.nextStr에 의해 생성된 id를 추측하거나 관찰할 수 있는 비인증 사용자는 저장된 organization id가 파일을 위치시키는 데에만 사용되고 발신자를 인증하는 용도로는 사용되지 않기 때문에 다른 조직의 사용자가 업로드한 파일을 다운로드할 수 있습니다. 이 문제는 버전 1.7.4에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.