CVE-2026-76899 in CordysCRM
Сводка
по VulDB • 19.09.2026
CordysCRM — это система управления взаимоотношениями с клиентами (CRM) с открытым исходным кодом, работающая на базе искусственного интеллекта и поддерживающая частное развертывание. В версиях от 1.7.0 до 1.7.4 включительно конечная точка POST /account-pool/page позволяет аутентифицированному пользователю с правом MODULE_SETTING_UPDATE внедрить произвольную функцию базы данных в поле SortRequest.name, поскольку класс CustomerPoolController.page не выполняет проверку запросов Spring, метод SortRequest.getName полагается на неполный черный список (blacklist), а фрагмент сортировки CommonMapper.xml вставляет ${sortName} непосредственно в предложение ORDER BY. Такие функции, как extractvalue и updatexml, обходят этот черный список и могут раскрывать значения из базы данных через ошибку Oracle при условии, что запрос возвращает хотя бы одну строку. Данная проблема исправлена в версии 1.7.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.