何が起きたか
CordysCRMのサーバー送信イベントレイヤーは、AI/エージェント駆動のCRMワークフロー通知を含むリアルタイム更新をプッシュするために使用されていますが、完全に認証されていないため、ネットワーク攻撃者は任意のユーザーの通知ストリームと対話できます。
なぜ重要か
CordysCRMはAI搭載CRMとして自らを売り込んでいます。SSE通知チャネルをハイジャックできる認証なし攻撃者は、AI エージェント駆動のCRMワークフローを中断またはなりすまし、セッション/通知操作を通じてより広い認証済みアプリケーション領域へのピボットの可能性があります。
攻撃経路
SseControllerは/sse/subscribe、/sse/broadcast、/sse/closeを匿名（認証なし）エンドポイントとして公開しています。これは、ShiroFilterのパブリックパス設定がSSEパスを認可チェックなしで許可しているため、リモート認証なし攻撃者が他のユーザーのリアルタイム通知ストリームへのサブスクライブ、ブロードキャスト、または終了ができます。
影響を受けるシステム
CordysCRM < 1.7.2
緩和策
CordysCRM 1.7.2以降にアップグレードしてください。