Liushaozhe

**Nome do Software Vulnerável e Versões Afetadas** CordysCRM versões anteriores a 1.4.2 **Descrição** Existe um problema no componente Third Party Endpoint dentro do arquivo `TokenService.java`. Um invasor remoto pode realizar um server-side request forgery (SSRF)—uma técnica que permite que um invasor induza a aplicação do lado do servidor a fazer requisições para um local não pretendido—através da manipulação do argumento `mkAddress`. **Recomendações** Atualize o CordysCRM para a versão 1.4.2 ou posterior. Como mitigação temporária, restrinja o acesso ao argumento `mkAddress` dentro do componente Third Party Endpoint.

**Nome do Software Vulnerável e Versões Afetadas** 1Panel-dev CordysCRM versões anteriores a 1.4.2 **Description** Um problema existe no Third Party Edit Endpoint onde a função `getSqlBotSrc()` dentro do arquivo `backend/crm/src/main/java/cn/cordys/crm/system/service/IntegrationConfigService.java` não manipula adequadamente o argumento `appSecret`. Isso permite que um invasor remoto execute server-side request forgery (SSRF), uma técnica na qual o servidor é enganado para fazer requisições não autorizadas a recursos internos ou externos. **Recommendations** Atualize o 1Panel-dev CordysCRM para a versão 1.4.2 ou posterior. Como mitigação temporária, restrinja o acesso ao Third Party Edit Endpoint ou evite usar o argumento `appSecret` até que a atualização seja aplicada.