CVE-2026-76902 in CordysCRM
Сводка
по VulDB • 19.09.2026
CordysCRM — это система управления взаимоотношениями с клиентами (CRM) с открытым исходным кодом, работающая на базе искусственного интеллекта и поддерживающая частное развертывание. До версии 1.7.4 фильтр ShiroFilter конфигурирует маршруты /attachment/preview/{id} и /pic/preview/{id} как анонимные, и оба этих маршрута вызывают метод AttachmentService.getResource, который выполняет простой поиск по первичному ключу без проверки владения, принадлежности к организации или прав доступа. Неаутентифицированный пользователь, угадавший или наблюдающий идентификатор (id), сгенерированный методом IDGenerator.nextStr, может скачивать файлы, загруженные пользователями из других организаций, поскольку хранящийся идентификатор организации используется только для локализации файла, а не для авторизации вызывающего. Эта проблема исправлена в версии 1.7.4.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.