Podatności NextCRM
4 znanych podatności CVE w NextCRM, przetłumaczonych i ocenionych.
- CVE-2026-55550Wysokie
Podatność w NextCRM (CRM open source) umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami tworzenie, modyfikowanie, archiwizowanie lub miękkie usuwanie produktów w katalogu CRM poprzez API MCP.
- CVE-2026-55544Wysokie
NextCRM w wersji 0.12.1 zawiera podatność w narzędziach kampanii MCP, gdzie procedury obsługi ignorują identyfikator uwierzytelnionego użytkownika i operują na kampaniach wyłącznie po identyfikatorze obiektu. Niskouprzywilejowany użytkownik z ważnym tokenem API MCP może wyliczać, odczytywać, modyfikować lub usuwać kampanie innych użytkowników.
- CVE-2026-47130Wysokie
Podatność BOLA/IDOR w NextCRM (wersje przed 0.12.0) w endpointach aktualizacji kontaktów i celów CRM. Uwierzytelniony użytkownik może modyfikować dane innych użytkowników lub organizacji.
- CVE-2026-47129Wysokie
Podatność BAC w NextCRM (wersje przed 0.12.0) pozwala każdemu uwierzytelnionemu użytkownikowi (nawet z rolą 'member' lub 'viewer') na aktywowanie lub dezaktywowanie dowolnego konta użytkownika, w tym administratora. Brak weryfikacji roli admina w akcjach activateUser i deactivateUser.