PT-2026-61737 · Nextcrm · Nextcrm
CVE-2026-55550
·
Publicado
2026-07-20
·
Atualizado
2026-07-21
CVSS v3.1
7.1
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:L |
Nome do Software Vulnerável e Versões Afetadas
NextCRM versões 0.12.1 até 0.12.2
Description
O NextCRM permite que usuários autenticados com baixos privilégios realizem operações de gravação não autorizadas no catálogo de produtos compartilhado do CRM. Enquanto as ações normais do servidor de aplicação restringem a criação, atualização e exclusão de produtos aos cargos de
manager e admin, as ferramentas de produto MCP não aplicam essas verificações de função. Um invasor com um token Bearer gerado pelo usuário pode usar o endpoint /api/mcp/mcp para criar, modificar, arquivar ou excluir logicamente produtos.Recommendations
Atualizar para a versão 0.12.3.
Exploit
Correção
Improper Privilege Management
Improper Access Control
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Nextcrm