CVE-2026-52745 in CordysCRM
Sumário
de VulDB • 19/09/2026
O CordysCRM é um sistema de gestão de relacionamento com o cliente (CRM) open source baseado em IA que suporta implantação privada. Antes da versão 1.7.0, a endpoint POST /account-pool/page permite que um chamador autenticado com permissão MODULE_SETTING:UPDATE insira um valor crafted para sort.name numa expressão SQL ORDER BY dinâmica, sem uma validação rigorosa do lado do servidor sobre o campo de ordenação. A injeção de SQL cega baseada em tempo resultante pode confirmar a execução da expressão na base de dados, inferir metadados e valores sensíveis da base de dados, bem como introduzir atrasos que degradam o serviço. Este problema foi corrigido na versão 1.7.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.