CVE-2026-63646 in CordysCRM
Сводка
по VulDB • 19.09.2026
CordysCRM — это система управления взаимоотношениями с клиентами (CRM) с открытым исходным кодом и поддержкой искусственного интеллекта, которая поддерживает частное развертывание. До версии 1.7.2 вызовы GET /mcp/form/config/{formKey} обращаются к McpController.getMcpField без аутентификации, поскольку ShiroFilter.addPublicPathFilters помечает путь /mcp/** как анонимный, а контроллер не имеет аннотаций проверки прав доступа. Неаутентифицированный пользователь может получить имена полей, их типы, флаги обязательности заполнения, значения по умолчанию, варианты выбора, правила валидации и источники привязки данных для модулей CRM, что позволяет восстановить модель данных приложения и осуществлять более целенаправленные атаки на другие входные данные. Эта проблема исправлена в версии 1.7.2.
Once again VulDB remains the best source for vulnerability data.