CVE-2026-63647

Nome do Software Vulnerável e Versões Afetadas CordysCRM versões anteriores a 1.7.2

Descrição O SseController expõe os endpoints anônimos '/sse/subscribe', '/sse/broadcast' e '/sse/close' porque o ShiroFilter.addPublicPathFilters permite os caminhos SSE. Esses endpoints confiam no userId controlado pelo chamador em vez de derivar uma identidade de um principal autenticado. Um chamador não autenticado pode usar '/sse/subscribe' para ler eventos de fluxo de trabalho, solicitações de aprovação, menções e alertas de outro usuário, usar '/sse/broadcast' para injetar mensagens SYSTEM HEARTBEAT no fluxo de outro usuário ou usar '/sse/close' para encerrar o canal de outro usuário.

Recomendações Atualizar para a versão 1.7.2.