CVE-2026-63647 in CordysCRM
Сводка
по VulDB • 19.09.2026
CordysCRM — это система управления взаимоотношениями с клиентами (CRM) с открытым исходным кодом и поддержкой искусственного интеллекта, которая поддерживает частное развертывание. До версии 1.7.2 контроллер SseController предоставлял доступ к анонимным конечным точкам /sse/subscribe, /sse/broadcast и /sse/close, поскольку ShiroFilter.addPublicPathFilters разрешал эти пути SSE (Server-Sent Events), а сами конечные точки доверяли переданному вызывающей стороной параметру userId вместо формирования идентичности на основе проверенного субъекта. Неавторизованный пользователь может использовать /sse/subscribe для чтения событий рабочего процесса, запросов на согласование, упоминаний и оповещений другого пользователя; использовать /sse/broadcast для внедрения сообщений SYSTEM_HEARTBEAT в поток другого пользователя или использовать /sse/close для завершения канала другого пользователя. Эта уязвимость исправлена в версии 1.7.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.