CVE-2026-55550 in NextCRM
Tóm tắt
Bởi VulDB • 21/07/2026
NextCRM là phần mềm quản trị quan hệ khách hàng (CRM) mã nguồn mở. Danh mục sản phẩm của giải pháp CRM này là một đối tượng kinh doanh được áp dụng trên toàn tổ chức. Các tác vụ thông thường trên máy chủ ứng dụng hạn chế việc tạo, cập nhật và xóa sản phẩm chỉ dành cho các vai trò `manager` (quản lý) và `admin` (quản trị viên). Tuy nhiên, trong phiên bản 0.12.1, các công cụ MCP của sản phẩm đã expose cùng các thao tác ghi thông qua `/api/mcp/mcp` bằng cách sử dụng Bearer token do người dùng tạo ra mà không thực hiện kiểm tra vai trò. Bất kỳ người dùng nào có quyền truy cập thấp nhưng được xác thực và có khả năng tạo token API MCP đều có thể tạo, sửa đổi, lưu trữ hoặc xóa mềm các sản phẩm trong danh mục sản phẩm CRM chia sẻ của tổ chức. Phiên bản 0.12.3 đã chứa bản vá khắc phục sự cố này.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.