CVE-2025-70981

Krytyczne

Opublikowano: 12/02/2026(UTC)Przetłumaczono: 30/05/2026(UTC)NVD NIST

Streszczenie

CordysCRM w wersji 1.4.1 jest podatny na atak typu SQL Injection w interfejsie zapytania listy pracowników (/user/list) poprzez parametr departmentIds.

Ocena ryzyka

Wykorzystanie tej podatności może prowadzić do nieautoryzowanego dostępu do danych w bazie, co stwarza poważne zagrożenie dla bezpieczeństwa informacji w organizacji.

Rekomendacja

Zaleca się aktualizację CordysCRM do najnowszej wersji oraz wprowadzenie filtracji i walidacji danych wejściowych w celu zminimalizowania ryzyka ataków SQL Injection.

Oryginalny opis (angielski, źródło NVD)

CordysCRM 1.4.1 is vulnerable to SQL Injection in the employee list query interface (/user/list) via the departmentIds parameter.