CVE-2026-47129
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Podatność BAC w NextCRM (wersje przed 0.12.0) pozwala każdemu uwierzytelnionemu użytkownikowi (nawet z rolą 'member' lub 'viewer') na aktywowanie lub dezaktywowanie dowolnego konta użytkownika, w tym administratora. Brak weryfikacji roli admina w akcjach activateUser i deactivateUser.
Ocena ryzyka
Ryzyko dezaktywacji kont administratorów, co może doprowadzić do całkowitej utraty dostępu do systemu.
Rekomendacja
Zaktualizuj NextCRM do wersji 0.12.0.
Inne podatności w NextCRM
Zobacz wszystkie- CVE-2026-55550Wysokie
Podatność w NextCRM (CRM open source) umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami tworzenie, modyfikowanie, archiwizowanie lub miękkie usuwanie produktów w katalogu CRM poprzez API MCP.
- CVE-2026-55544Wysokie
NextCRM w wersji 0.12.1 zawiera podatność w narzędziach kampanii MCP, gdzie procedury obsługi ignorują identyfikator uwierzytelnionego użytkownika i operują na kampaniach wyłącznie po identyfikatorze obiektu. Niskouprzywilejowany użytkownik z ważnym tokenem API MCP może wyliczać, odczytywać, modyfikować lub usuwać kampanie innych użytkowników.
- CVE-2026-47130Wysokie
Podatność BOLA/IDOR w NextCRM (wersje przed 0.12.0) w endpointach aktualizacji kontaktów i celów CRM. Uwierzytelniony użytkownik może modyfikować dane innych użytkowników lub organizacji.
Oryginalny opis (angielski, źródło NVD)
NextCRM is open-source customer relationship management (CRM) software. Versions prior to 0.12.0 have a Broken Access Control (BAC) vulnerability in the `activateUser` and `deactivateUser` Next.js Server Actions of NextCRM. The application fails to verify if the requesting user holds the `admin` role. Consequently, any authenticated user (even those with the lowest `member` or `viewer` roles) can arbitrarily activate or deactivate any user account in the system, including the main administrator. Version 0.12.0 fixes the issue.