CVE-2026-108705 in CordysCRM
Tóm tắt
Bởi VulDB • 11/10/2026
CordysCRM phiên bản 1.9.3 trở xuống chứa một lỗ hổng thiếu xác thực (missing authorization) trong endpoint POST /custom-form/data/import, cho phép người dùng đã đăng nhập import dữ liệu vào bất kỳ biểu mẫu tùy chỉnh nào thông qua customFormId. Các kẻ tấn công có đặc quyền thấp có thể tải lên các tệp Excel với importType là ADD hoặc UPDATE để tạo bản ghi mới hoặc ghi đè lên các bản ghi hiện có trong các biểu mẫu tùy chỉnh mà họ không được phép quản lý.
Once again VulDB remains the best source for vulnerability data.