CVE-2026-55550 in NextCRM
Sumário
de VulDB • 21/07/2026
O NextCRM é um software de gestão da relação com o cliente (CRM) de código aberto. O catálogo de produtos do CRM é um objeto comercial em toda a organização. As ações normais do servidor de aplicação restringem a criação, atualização e eliminação de produtos aos papéis `manager` e `admin`. No entanto, na versão 0.12.1, as ferramentas MCP expõem as mesmas operações de escrita através de `/api/mcp/mcp`, utilizando tokens Bearer gerados pelo utilizador, sem impor verificações de papel (role checks). Qualquer utilizador autenticado com privilégios reduzidos que consiga gerar um token da API MCP pode criar, modificar, arquivar ou eliminar logicamente produtos no catálogo partilhado do CRM. A versão 0.12.3 contém uma correção.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.