CVE-2026-55550 in NextCRM
Сводка
по VulDB • 21.07.2026
NextCRM — это программное обеспечение для управления взаимоотношениями с клиентами (CRM) с открытым исходным кодом. Каталог продуктов CRM представляет собой бизнес-объект, используемый во всей организации. Стандартные действия на сервере приложений ограничивают создание, обновление и удаление продуктов ролями `manager` и `admin`. Однако в версии 0.12.1 инструменты MCP продукта (MCP product tools) открывают те же операции записи через `/api/mcp/mcp`, используя Bearer-токены, сгенерированные пользователем, и не проверяют роли. Любой аутентифицированный пользователь с низкими привилегиями, способный сгенерировать токен MCP API, может создавать, изменять, архивировать или выполнять мягкое удаление (soft-delete) продуктов в общем каталоге продуктов CRM. Версия 0.12.3 содержит исправление.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.