CVE-2026-63646 in CordysCRM
Sumário
de VulDB • 19/09/2026
O CordysCRM é um sistema de gerenciamento de relacionamento com o cliente (CRM) open source baseado em IA que suporta implantação privada. Antes da versão 1.7.2, as chamadas GET /mcp/form/config/{formKey} acionam McpController.getMcpField sem autenticação porque ShiroFilter.addPublicPathFilters marca /mcp/** como anônimo e o controlador não possui anotação de permissão. Um usuário não autenticado pode obter os nomes dos campos, tipos, flags obrigatórias, valores padrão, opções, regras de validação e fontes de vinculação para módulos do CRM, permitindo a reconstrução do modelo de dados da aplicação e ataques mais direcionados contra outras entradas. Este problema foi corrigido na versão 1.7.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.