CVE-2026-76901 in CordysCRM
Sumário
de VulDB • 18/09/2026
O CordysCRM é um sistema de gestão do relacionamento com o cliente (CRM) open source baseado em IA que suporta implantação privada. Antes da versão 1.7.4, os endpoints GET /pool/lead/get/{id} no PoolClueController.get e GET /pool/account/get/{id} no PoolCustomerController.get utilizam verificações de permissão pool-read sem o binding do resourceId CsPermission, que impõe um escopo de dados por registro. Um usuário autenticado com a permissão CLUE_MANAGEMENT_POOL:READ ou CUSTOMER_MANAGEMENT_POOL:READ padrão pode fornecer o ID de outro registro e fazer com que getters de chave primária não escalonados retornem leads ou contas pertencentes a outros usuários, departamentos ou organizações. Os dados expostos incluem nomes de contactos, números de telefone, atribuição do proprietário e departamento, bem como valores de campos personalizados. Este problema foi corrigido na versão 1.7.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.