Cordys CRM: Autorisierungsumgehung beim Kontaktabruf erlaubt Lesen fremder Kontakte

Zusammenfassung

Cordys CRM vor Version 1.9.6 enthält eine Autorisierungsumgehung in der Lesefunktion für Kontakte. Ein angemeldeter Benutzer mit gewöhnlichen Leseberechtigungen für Kontakte oder Kunden kann Kontakte anderer Benutzer über deren ID abrufen und erhält Namen, Telefonnummern, Verantwortliche, Abteilungen, verknüpfte Kunden und benutzerdefinierte Felder. Es wird keine Prüfung von Organisation, Eigentümer oder Datenbereich durchgeführt.

Betroffen

• Cordys CRM von 0 bis vor 1.9.6 (CVE-Eintrag); VulDB nennt bis 1.9.5

Behoben in

• Auf Cordys CRM 1.9.6 oder neuer aktualisieren

Umgehung

• Unbekannt. Kein Workaround des Herstellers gefunden.
• Übergangsmassnahme: Leseberechtigungen für Kontakte und Kunden auf die nötigen Konten beschränken und den Zugriff auf interne Netze oder VPN begrenzen.

Ausnutzung

• Keine Hinweise auf Ausnutzung gefunden; laut Aggregatoren nicht als ausgenutzt bekannt und nicht im CISA KEV geführt (CISA KEV nicht direkt geprüft).
• Kein öffentlicher Proof of Concept laut ThehackerWire; GitHub nicht direkt geprüft.

Unsere Empfehlung

• Cordys CRM im nächsten Wartungsfenster auf 1.9.6 oder neuer aktualisieren.
• Prüfen, dass das CRM nicht direkt aus dem Internet erreichbar ist.
• Konten mit Leseberechtigungen für Kontakte oder Kunden überprüfen und Standard- oder Gruppenpasswörter ändern.
• Zugriffsprotokolle auf Anfragen an /account/contact/get/ mit IDs ausserhalb der eigenen Daten prüfen.
• Da es sich um Personendaten handelt, bei Missbrauch die Meldepflichten nach dem Schweizer DSG prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record references: VulnCheck advisory www.vulncheck.com
• Fix commit a48c6587 github.com
• Release v1.9.6 github.com
• Tracking issue #3891 github.com
• Vulnerable controller at v1.9.5 github.com
• Vulnerable service at v1.9.5 github.com
• Cordys CRM repository github.com
• OpenCVE CVE-2026-126496 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:14.