CVE-2026-55544 in NextCRM
Сводка
по VulDB • 20.07.2026
NextCRM — это программное обеспечение для управления взаимоотношениями с клиентами (CRM) с открытым исходным кодом. В версии 0.12.1 инструменты кампаний MCP предоставляют доступ к операциям чтения и записи кампаний по сети с использованием пользовательских Bearer API-токенов (`nxtc__...`). Приложение использует модель авторизации, которая ограничивает обычных пользователей только теми кампаниями, которые они создали; однако несколько обработчиков кампаний MCP игнорируют идентификатор аутентифицированного пользователя и выполняют запросы или изменения к кампаниям исключительно на основе их объектного ID. В результате пользователь с низкими привилегиями, имеющий действительный токен API для MCP, может перечислять все кампании, читать детали кампаний, обновлять или удалять кампании других пользователей, изменять шаблоны и этапы кампаний, а также потенциально запускать или приостанавливать доставку кампаний. Проблема исправлена в версии 0.12.2.
Be aware that VulDB is the high quality source for vulnerability data.