CVE-2026-47130
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Podatność BOLA/IDOR w NextCRM (wersje przed 0.12.0) w endpointach aktualizacji kontaktów i celów CRM. Uwierzytelniony użytkownik może modyfikować dane innych użytkowników lub organizacji.
Ocena ryzyka
Atakujący może manipulować wrażliwymi danymi CRM innych użytkowników, co prowadzi do naruszenia poufności i integralności danych oraz potencjalnie do eskalacji uprawnień.
Rekomendacja
Zaktualizuj NextCRM do wersji 0.12.0 lub nowszej. Wdróż mechanizmy weryfikacji własności zasobów.
Inne podatności w NextCRM
Zobacz wszystkie- CVE-2026-55550Wysokie
Podatność w NextCRM (CRM open source) umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami tworzenie, modyfikowanie, archiwizowanie lub miękkie usuwanie produktów w katalogu CRM poprzez API MCP.
- CVE-2026-55544Wysokie
NextCRM w wersji 0.12.1 zawiera podatność w narzędziach kampanii MCP, gdzie procedury obsługi ignorują identyfikator uwierzytelnionego użytkownika i operują na kampaniach wyłącznie po identyfikatorze obiektu. Niskouprzywilejowany użytkownik z ważnym tokenem API MCP może wyliczać, odczytywać, modyfikować lub usuwać kampanie innych użytkowników.
- CVE-2026-47129Wysokie
Podatność BAC w NextCRM (wersje przed 0.12.0) pozwala każdemu uwierzytelnionemu użytkownikowi (nawet z rolą 'member' lub 'viewer') na aktywowanie lub dezaktywowanie dowolnego konta użytkownika, w tym administratora. Brak weryfikacji roli admina w akcjach activateUser i deactivateUser.
Oryginalny opis (angielski, źródło NVD)
NextCRM is open-source customer relationship management (CRM) software. Versions prior to 0.12.0 have a Broken Object Level Authorization (BOLA/IDOR) vulnerability exists in the CRM contact and target update endpoints. The application fails to verify if the authenticated user has ownership of the specific resource being modified. This allows any authenticated user (even with a standard `member` role) to arbitrarily modify sensitive CRM contacts and targets belonging to other users or organizations (cross-tenant data tampering). Version 0.12.0 fixes the issue.