CVE-2026-52745
Açıklama
CordysCRM, özel dağıtımı destekleyen açık kaynaklı ve yapay zeka destekli bir müşteri ilişkileri yönetimi sistemidir. 1.7.0 sürümünden önce, POST /account-pool/page uç noktası, MODULE_SETTING:UPDATE yetkisine sahip kimliği doğrulanmış bir çağırıcının, sıralama alanının sunucu tarafında sıkı bir şekilde doğrulanmaması nedeniyle dinamik bir SQL ORDER BY ifadesine özel olarak hazırlanmış bir sort.name değeri yerleştirmesine izin verir. Ortaya çıkan zaman tabanlı kör SQL enjeksiyonu; veritabanı ifadesinin yürütülmesini onaylayabilir, veritabanı meta verilerini ve hassas değerleri çıkarabilir ve hizmet kalitesini düşüren veritabanı gecikmelerine yol açabilir. Bu sorun 1.7.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| 1Panel-dev CordysCRM | < 1.7.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.