CVE-2026-55544
Açıklama
NextCRM, açık kaynaklı bir müşteri ilişkileri yönetimi (CRM) yazılımıdır. Versiyon 0.12.1'de, MCP kampanya araçları, kullanıcı tarafından oluşturulan Bearer API belirteçlerini (`nxtc__...`) kullanarak kampanya okuma ve yazma işlemlerini ağ üzerinden dışarı açmaktadır. Uygulamanın, normal kullanıcıları yalnızca kendi oluşturdukları kampanyalarla kısıtlayan bir yetkilendirme modeli vardır; ancak birden fazla MCP kampanya işleyicisi, kimliği doğrulanmış kullanıcı kimliğini yoksaymakta ve kampanyaları yalnızca nesne kimliğine göre sorgulamakta veya değiştirmektedir. Sonuç olarak, geçerli bir MCP API belirtecine sahip düşük yetkili ve kimliği doğrulanmış bir kullanıcı tüm kampanyaları listeleyebilir, kampanya ayrıntılarını okuyabilir, diğer kullanıcılara ait kampanyaları güncelleyebilir veya silebilir, kampanya şablonlarını ve adımlarını değiştirebilir ve potansiyel olarak kampanya gönderimini tetikleyebilir veya duraklatabilir. Versiyon 0.12.2 bu sorunu gidermektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pdovhomilja nextcrm-app | = 0.12.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.