CVE-2026-55544
Təsvir
NextCRM açıq mənbəli müştəri münasibətlərinin idarə edilməsi (CRM) proqram təminatıdır. Versiya 0.12.1-də MCP kampaniya alətləri istifadəçi tərəfindən yaradılmış Bearer API tokenləri (`nxtc__...`) vasitəsilə şəbəkə üzərindən kampaniyaların oxuma və yazma əməliyyatlarını təmin edir. Tətbiqdə adi istifadəçiləri yalnız öz yaratdıqları kampaniyalarla məhdudlaşdıran avtorizasiya modeli mövcuddur, lakin bir çox MCP kampaniya handler-ləri autentifikasiya olunmuş istifadəçi ID-sini nəzərə almır və kampaniyalara yalnız obyekt ID-si ilə sorğu göndərir və ya onları dəyişdirir. Nəticədə, etibarlı MCP API tokeni olan aşağı imtiyazlı autentifikasiya olunmuş istifadəçi bütün kampaniyaları sadalayabilir, kampaniya detallarını oxuya bilər, digər istifadəçilərə məxsus kampaniyaları yeniləyə və ya silə bilər, kampaniya şablonlarını və addımlarını dəyişdirə bilər və potensial olaraq kampaniya çatdırılmasını başlada və ya dayandıra bilər. Versiya 0.12.2 bu problemi aradan qaldırır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pdovhomilja nextcrm-app | = 0.12.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.