Apa yang terjadi
Server-sent-events layer CordysCRM, yang digunakan untuk mendorong update real-time termasuk notifikasi CRM workflow berbasis AI/agent, dibiarkan sepenuhnya unauthenticated, memungkinkan penyerang jaringan mana pun berinteraksi dengan notification stream pengguna apa pun.
Mengapa penting
CordysCRM memasarkan dirinya sebagai CRM berbasis AI; penyerang unauthenticated yang mampu membajak saluran SSE notification dapat mengganggu atau memalsukan workflow CRM yang didorong AI-agent dan berpotensi pivot ke permukaan aplikasi authenticated yang lebih luas melalui manipulasi session/notification.
Vektor serangan
SseController mengekspos /sse/subscribe, /sse/broadcast, dan /sse/close sebagai endpoint anonymous (unauthenticated) karena konfigurasi public-path ShiroFilter mengizinkan jalur SSE tanpa pemeriksaan otorisasi apa pun, memungkinkan penyerang jarak jauh unauthenticated untuk subscribe ke, broadcast ke, atau mengakhiri notification stream real-time pengguna lain.
Sistem yang terdampak
CordysCRM < 1.7.2
Mitigasi
Upgrade ke CordysCRM 1.7.2 atau lebih baru.