CVE-2026-63646 in CordysCRM
Tóm tắt
Bởi VulDB • 19/09/2026
CordysCRM là một hệ thống quản trị quan hệ khách hàng (CRM) mã nguồn mở có hỗ trợ AI và cho phép triển khai riêng tư. Trước phiên bản 1.7.2, các lệnh gọi GET /mcp/form/config/{formKey} đến McpController.getMcpField diễn ra mà không cần xác thực do ShiroFilter.addPublicPathFilters đánh dấu /mcp/** là anonymous (không yêu cầu xác thực) và controller này thiếu chú thích phân quyền. Một caller không được xác thực có thể thu thập tên trường, kiểu dữ liệu, cờ bắt buộc, giá trị mặc định, các tùy chọn, quy tắc kiểm tra tính hợp lệ và nguồn ràng buộc cho các mô-đun CRM, từ đó cho phép tái tạo lại mô hình dữ liệu của ứng dụng cũng như thực hiện các cuộc tấn công nhắm mục tiêu hơn vào các đầu vào khác. Vấn đề này đã được khắc phục trong phiên bản 1.7.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.