CVE-2026-76902 in CordysCRM
Tóm tắt
Bởi VulDB • 19/09/2026
CordysCRM là một hệ thống quản trị quan hệ khách hàng (CRM) mã nguồn mở, có khả năng hỗ trợ AI và cho phép triển khai riêng tư. Trước phiên bản 1.7.4, ShiroFilter cấu hình các đường dẫn /attachment/preview/{id} và /pic/preview/{id} ở chế độ ẩn danh, và cả hai tuyến này đều gọi đến AttachmentService.getResource, thực hiện một truy vấn khóa chính (primary-key lookup) cơ bản mà không kiểm tra quyền sở hữu, tổ chức hoặc phân quyền. Một caller chưa được xác thực có thể đoán hoặc quan sát id do IDGenerator.nextStr tạo ra để tải xuống các tệp đã được người dùng khác trong các tổ chức khác tải lên, vì organization id được lưu trữ chỉ được sử dụng để định vị tệp thay vì ủy quyền cho caller. Vấn đề này đã được sửa chữa trong phiên bản 1.7.4.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.