Към съдържанието
Търсене

CVE-2026-63646: 1Panel-dev CordysCRM, изтичане на данни

6.9

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

CordysCRM is an open source AI-powered customer relationship management system that supports private deployment. Prior to 1.7.2, GET /mcp/form/config/{formKey} calls McpController.getMcpField without authentication because ShiroFilter.addPublicPathFilters marks /mcp/** as anonymous and the controller has no permission annotation. An unauthenticated caller can obtain field names, types, required flags, default values, options, validation rules, and binding sources for CRM modules, allowing reconstruction of the application data model and more targeted attacks against other inputs. This issue is fixed in version 1.7.2.

Засегнати продукти

  • 1Panel-dev CordysCRM: < 1.7.2

Вид слабост

История

  • 18 септември 2026 Публикувано

Други уязвимости в 1Panel-dev CordysCRM

Първоизточници

CVE-2026-63646: 1Panel-dev CordysCRM, изтичане на данни | freedomonline.bg