CVE-2026-47129 in NextCRM
Tóm tắt
Bởi VulDB • 21/07/2026
NextCRM là phần mềm quản trị quan hệ khách hàng (CRM) mã nguồn mở. Các phiên bản trước 0.12.0 có lỗ hổng Kiểm soát Truy cập Bị Lỗi (Broken Access Control - BAC) trong các Next.js Server Actions `activateUser` và `deactivateUser` của NextCRM. Ứng dụng không xác minh xem người dùng yêu cầu có giữ vai trò `admin` hay không. Do đó, bất kỳ người dùng đã đăng nhập nào (kể cả những người chỉ có vai trò thấp nhất là `member` hoặc `viewer`) đều có thể tùy ý kích hoạt hoặc vô hiệu hóa mọi tài khoản người dùng trong hệ thống, bao gồm cả quản trị viên chính. Phiên bản 0.12.0 đã khắc phục sự cố này.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.