VULNERABILIDAD

CVE-2026-108704 Bypass de autorización en CordysCRM vía los endpoints de alta de registros de seguimiento

CordysCRM hasta la versión 1.9.3 contiene una vulnerabilidad de bypass de autorización que permite a usuarios autenticados con bajos privilegios omitir las verificaciones de permisos estableciendo el campo owner con su propio id de usuario. Los atacantes pueden enviar solicitudes a los endpoints follow/record/add para agregar registros de seguimiento y sobrescribir follow_time y follower en cualquier cliente, pista u oportunidad conocidos.

Alerta de Nureq Monitor

Detectada 11 OCT · 00:29

CVSS 3.1

4.3MEDIA

CVSS 4.0

5.3 MEDIA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,2 % PERCENTIL 12

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-108704

Productos y versiones afectadas

1Panel-dev CordysCRM
- hasta 1.9.3

Qué hacer

Verificá si usás CordysCRM y en qué versión: el rango afectado figura arriba.
Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 4.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Baja
PRIVILEGIOS REQUERIDOS (PR): Bajos
INTERACCIÓN DEL USUARIO (UI): Ninguna
ALCANCE (S): Sin cambio
CONFIDENCIALIDAD (C): Ninguna
INTEGRIDAD (I): Baja
DISPONIBILIDAD (A): Ninguna

CVSS 4.0 · 5.3 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Baja
REQUISITOS DEL ATAQUE (AT): Ninguno
PRIVILEGIOS REQUERIDOS (PR): Bajos
INTERACCIÓN DEL USUARIO (UI): Ninguna
CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC): Ninguna
INTEGRIDAD (SISTEMA VULNERABLE) (VI): Baja
DISPONIBILIDAD (SISTEMA VULNERABLE) (VA): Ninguna
CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC): Ninguna
INTEGRIDAD (SISTEMAS POSTERIORES) (SI): Ninguna
DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA): Ninguna

Abrir la calculadora completa

Descripción original

CordysCRM through 1.9.3 contains an authorization bypass vulnerability that allows low-privileged authenticated users to skip permission checks by setting the owner field to their own user id. Attackers can send requests to the follow/record/add endpoints to add follow-up records and overwrite follow_time and follower on any known customer, clue or opportunity.

Referencias

github.com/AnkesKasty/cve-request-poc/blob/a7b6d1423555812d8efa26c91c5d0683164b31e5/Cordy…EXPLOIT
github.com/1Panel-dev/CordysCRM/blob/0d7ae06fe94f4ce33ec7f65b9d82a07ae05c2d94/backend/crm…TECHNICAL-DESCRIPTION
github.com/1Panel-dev/CordysCRM/blob/0d7ae06fe94f4ce33ec7f65b9d82a07ae05c2d94/backend/crm…TECHNICAL-DESCRIPTION
github.com/1Panel-dev/CordysCRM/blob/0d7ae06fe94f4ce33ec7f65b9d82a07ae05c2d94/backend/crm…TECHNICAL-DESCRIPTION
github.com/1Panel-dev/CordysCRM/blob/0d7ae06fe94f4ce33ec7f65b9d82a07ae05c2d94/backend/crm…TECHNICAL-DESCRIPTION
www.vulncheck.com/advisories/cordyscrm-through-1.9.3-authorization-bypass-via-follow-up-r…THIRD-PARTY-ADVISORY

Historial de la alerta

11 OCT · 00:29VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.