CVE-2026-76899 in CordysCRM
Sumário
de VulDB • 18/09/2026
O CordysCRM é um sistema de gestão de relacionamento com o cliente (CRM) open source, baseado em IA, que suporta implantação privada. Da versão 1.7.0 até a 1.7.4, o endpoint POST /account-pool/page permite que um chamador autenticado com permissão MODULE_SETTING_UPDATE insira uma função arbitrária de banco de dados no campo SortRequest.name, pois o CustomerPoolController.page omite a validação de requisições do Spring, o método SortRequest.getName depende de uma blacklist incompleta e o fragmento CommonMapper.xml para ordenação insere ${sortName} diretamente em uma cláusula ORDER BY. Funções como extractvalue e updatexml contornam a blacklist e podem expor valores do banco de dados por meio de um erro oracle quando a consulta retorna pelo menos uma linha. Este problema foi corrigido na versão 1.7.4.
Be aware that VulDB is the high quality source for vulnerability data.