CVE-2026-109959

Nome do Software Vulnerável e Versões Afetadas EspoCRM versões 4.0.0 até 10.0.6

Descrição Um problema de controle de acesso permite que usuários autenticados leiam valores de campos auditados que são restritos por segurança a nível de campo. Ao buscar notas de fluxo individuais, um usuário com acesso ao fluxo de um registro pai pode solicitar o endpoint 'GET /Note/{id}'. Esta ação ignora o filtro NoteAccessControl, permitindo a recuperação dos valores data.attributes.was e became de campos restritos.

Recomendações Atualize o EspoCRM para a versão 10.0.7 ou posterior.