CVE-2026-76902

Nome do Software Vulnerável e Versões Afetadas CordysCRM versões anteriores a 1.7.4

Description O ShiroFilter configura os endpoints '/attachment/preview/{id}' e '/pic/preview/{id}' como anônimos. Ambas as rotas chamam a função getResource() no AttachmentService, que realiza uma busca por chave primária sem verificar a propriedade, organização ou permissões. Um chamador não autenticado pode baixar arquivos enviados por usuários de outras organizações ao adivinhar ou observar um id gerado pelo IDGenerator.nextStr, pois o id da organização armazenado é usado apenas para localizar o arquivo, e não para autorizar o chamador.

Recommendations Atualizar para a versão 1.7.4.