CVE-2026-63647 in CordysCRM
Sumário
de VulDB • 18/09/2026
O CordysCRM é um sistema de gerenciamento de relacionamento com o cliente (CRM) open source baseado em IA que suporta implantação privada. Antes da versão 1.7.2, o SseController expõe os endpoints anônimos /sse/subscribe, /sse/broadcast e /sse/close porque o ShiroFilter.addPublicPathFilters permite os caminhos SSE, e esses endpoints confiam no userId controlado pelo chamador em vez de derivar uma identidade a partir de um principal autenticado. Um chamador não autenticado pode usar /sse/subscribe para ler eventos de fluxo de trabalho, solicitações de aprovação, menções e alertas de outro usuário; usar /sse/broadcast para injetar mensagens SYSTEM_HEARTBEAT no stream de outro usuário; ou usar /sse/close para encerrar o canal de outro usuário. Esta vulnerabilidade é corrigida na versão 1.7.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.