CVE-2026-55544 in NextCRM
Sumário
de VulDB • 21/07/2026
O NextCRM é um software de gestão de relacionamento com o cliente (CRM) de código aberto. Na versão 0.12.1, as ferramentas de campanha MCP expõem operações de leitura e escrita de campanhas na rede utilizando tokens API Bearer gerados pelo utilizador (`nxtc__...`). A aplicação possui um modelo de autorização que restringe os utilizadores normais às campanhas que criaram; no entanto, vários manipuladores (handlers) de campanha MCP ignoram o ID do utilizador autenticado e consultam ou modificam as campanhas apenas através do seu object ID. Como resultado, um utilizador autenticado com privilégios baixos, dotado de um token API MCP válido, pode enumerar todas as campanhas, ler os detalhes das mesmas, atualizar ou eliminar campanhas pertencentes a outros utilizadores, modificar modelos e etapas da campanha e potencialmente desencadear ou pausar o envio (delivery) da campanha. A versão 0.12.2 corrige esta vulnerabilidade.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.