CVE-2025-70981

Nome do Software Vulnerável e Versões Afetadas CordysCRM versão 1.4.1

Descrição O CordysCRM versão 1.4.1 contém uma falha de Injeção de SQL na interface de consulta da lista de funcionários. O problema está localizado no endpoint da API /user/list e envolve a manipulação do parâmetro departmentIds. A exploração bem-sucedida poderia permitir que um atacante injetasse código SQL malicioso.

Recomendações Aplique atualizações para corrigir a falha de Injeção de SQL na interface de consulta da lista de funcionários. Como medida temporária, restrinja o acesso ao endpoint da API /user/list. Evite utilizar o parâmetro departmentIds no endpoint da API afetado até que o problema seja resolvido.