CVE-2026-63646

Nome do Software Vulnerável e Versões Afetadas CordysCRM versões anteriores a 1.7.2

Description Existe uma falha de bypass de autenticação na função getMcpField() do McpController porque o método ShiroFilter.addPublicPathFilters marca o caminho /mcp/** como anônimo e o controlador não possui anotação de permissão. Um usuário não autenticado pode acessar o endpoint 'GET /mcp/form/config/{formKey}' para recuperar informações sensíveis sobre módulos de CRM, incluindo nomes de campos, tipos, sinalizadores de obrigatoriedade, valores padrão, opções, regras de validação e fontes de vinculação. Essa exposição permite que um invasor reconstrua o modelo de dados da aplicação para facilitar ataques mais direcionados a outras entradas.

Recommendations Atualizar para a versão 1.7.2.