CVE-2026-76901
Açıklama
CordysCRM, özel dağıtımı destekleyen açık kaynaklı ve yapay zeka destekli bir müşteri ilişkileri yönetimi sistemidir. 1.7.4 sürümünden önce, PoolClueController.get içerisindeki GET /pool/lead/get/{id} ve PoolCustomerController.get içerisindeki GET /pool/account/get/{id} uç noktaları, kayıt başına veri kapsamını zorunlu kılan CsPermission resourceId bağlaması olmadan yalın pool-read izin kontrollerini kullanmaktadır. Sıradan CLUE_MANAGEMENT_POOL:READ veya CUSTOMER_MANAGEMENT_POOL:READ iznine sahip kimliği doğrulanmış bir kullanıcı, başka bir kaydın id değerini sağlayarak kapsamsız birincil anahtar getiricilerinin diğer kullanıcılara, departmanlara veya organizasyonlara ait potansiyel müşterileri veya hesapları döndürmesine neden olabilir. Açığa çıkan veriler arasında kişi adları, telefon numaraları, sahip ve departman atamaları ile özel alan değerleri yer almaktadır. Bu sorun 1.7.4 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| 1Panel-dev CordysCRM | < 1.7.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.