CVE-2026-111349

ŚrednieCVSS 5.3

Opublikowano: 15/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Streszczenie

Craftplan do wersji 0.7.5 zawiera podatność braku autoryzacji w zasobie CRM Customer, umożliwiającą nieuwierzytelnionym atakującym tworzenie rekordów klientów przez JSON:API i GraphQL. Atakujący mogą wysyłać anonimowe żądania POST /api/json/customers lub mutację create_customer, aby wstawić wybrane przez siebie nazwy, dane kontaktowe i adresy do CRM operatora.

Ocena ryzyka

Nieuwierzytelnieni atakujący mogą wstawiać fałszywe rekordy klientów do CRM, co prowadzi do zanieczyszczenia danych i potencjalnych oszustw.

Rekomendacja

Zaktualizuj Craftplan do wersji nowszej niż 0.7.5, jeśli jest dostępna, lub wdroż uwierzytelnianie i autoryzację dla punktów końcowych tworzenia klientów.

Inne podatności w Craftplan

CVE-2026-76876Średnie
Craftplan przed wersją 0.5.1 zawiera podatność na złamanie kontroli dostępu, która pozwala nieuwierzytelnionym atakującym odczytać wrażliwe dane uwierzytelniające poprzez wykorzystanie polityki autoryzacji zawsze-zezwól na zasobie Settings. Atakujący mogą wysłać żądanie GET do punktu końcowego API ustawień z prawidłowym ID rekordu, aby pobrać odszyfrowane hasła SMTP, klucze API e-mail i sekrety API e-mail, ponieważ polityka odczytu używa zawsze-zezwól sprawdzenia autoryzacji, które omija całą weryfikację tożsamości.

Oryginalny opis (angielski, źródło NVD)

Craftplan through 0.7.5 contains a missing authorization vulnerability in the CRM Customer resource that allows unauthenticated attackers to create customer records via JSON:API and GraphQL. Attackers can send anonymous requests to POST /api/json/customers or the create_customer mutation to insert attacker-chosen names, contact details and addresses into the operator's CRM.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS