CVE-2026-55550
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Podatność w NextCRM (CRM open source) umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami tworzenie, modyfikowanie, archiwizowanie lub miękkie usuwanie produktów w katalogu CRM poprzez API MCP.
Ocena ryzyka
Atakujący może manipulować katalogiem produktów, co może prowadzić do nieautoryzowanych zmian w danych biznesowych.
Rekomendacja
Zaktualizuj NextCRM do wersji 0.12.3, która zawiera poprawkę.
Inne podatności w NextCRM
Zobacz wszystkie- CVE-2026-55544Wysokie
NextCRM w wersji 0.12.1 zawiera podatność w narzędziach kampanii MCP, gdzie procedury obsługi ignorują identyfikator uwierzytelnionego użytkownika i operują na kampaniach wyłącznie po identyfikatorze obiektu. Niskouprzywilejowany użytkownik z ważnym tokenem API MCP może wyliczać, odczytywać, modyfikować lub usuwać kampanie innych użytkowników.
- CVE-2026-47130Wysokie
Podatność BOLA/IDOR w NextCRM (wersje przed 0.12.0) w endpointach aktualizacji kontaktów i celów CRM. Uwierzytelniony użytkownik może modyfikować dane innych użytkowników lub organizacji.
- CVE-2026-47129Wysokie
Podatność BAC w NextCRM (wersje przed 0.12.0) pozwala każdemu uwierzytelnionemu użytkownikowi (nawet z rolą 'member' lub 'viewer') na aktywowanie lub dezaktywowanie dowolnego konta użytkownika, w tym administratora. Brak weryfikacji roli admina w akcjach activateUser i deactivateUser.
Oryginalny opis (angielski, źródło NVD)
NextCRM is open-source customer relationship management (CRM) software. The CRM product catalog is an organization-wide business object. Normal application server actions restrict product creation, update, and deletion to `manager` and `admin` roles. However, in version 0.12.1, the MCP product tools expose the same write operations through `/api/mcp/mcp` using user-generated Bearer tokens and do not enforce role checks. Any authenticated low-privileged user who can generate an MCP API token can create, modify, archive, or soft-delete products in the shared CRM product catalog. Version 0.12.3 contains a fix.