CVE-2026-63646
Təsvir
CordysCRM şəxsi yerləşdirməni dəstəkləyən açıq mənbəli süni intellekt əsaslı müştəri münasibətlərinin idarə edilməsi sistemidir. 1.7.2 versiyasından əvvəl, ShiroFilter.addPublicPathFilters tərəfindən /mcp/** yolunun anonim kimi qeyd edilməsi və kontrollerdə heç bir icazə annotasiyasının olmaması səbəbindən GET /mcp/form/config/{formKey} sorğusu McpController.getMcpField funksiyasını autentifikasiya olmadan çağırır. Autentifikasiya olunmamış istifadəçi CRM modulları üçün sahə adlarını, tiplərini, tələb olunan bayraqları, standart dəyərləri, seçimləri, validasiya qaydalarını və bağlanma mənbələrini əldə edə bilər ki, bu da tətbiqin məlumat modelinin yenidən qurulmasına və digər girişlərə qarşı daha hədəflənmiş hücumların həyata keçirilməsinə imkan verir. Bu problem 1.7.2 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| 1Panel-dev CordysCRM | < 1.7.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.