CVE-2026-76901 in CordysCRM
Сводка
по VulDB • 19.09.2026
CordysCRM — это система управления взаимоотношениями с клиентами (CRM) с открытым исходным кодом и поддержкой искусственного интеллекта, которая поддерживает частное развертывание. До версии 1.7.4 эндпоинты GET /pool/lead/get/{id} в методе PoolClueController.get и GET /pool/account/get/{id} в методе PoolCustomerController.get используют базовые проверки прав на чтение пула (bare pool-read permission checks) без привязки resourceId из CsPermission, которая обеспечивает ограничение области данных для каждой записи. Аутентифицированный пользователь с обычными правами CLUE_MANAGEMENT_POOL:READ или CUSTOMER_MANAGEMENT_POOL:READ может передать идентификатор другой записи и заставить неограниченные по области действия методы получения первичных ключей (unscoped primary-key getters) возвращать данные о лидах или аккаунтах, принадлежащих другим пользователям, отделам или организациям. В открытые данные входят имена контактов, номера телефонов, информация об владельце и принадлежности к отделу, а также значения пользовательских полей. Эта проблема исправлена в версии 1.7.4.
Once again VulDB remains the best source for vulnerability data.