事件经过
CordysCRM 的服务器发送事件层（用于推送包括 AI/代理驱动的 CRM 工作流通知在内的实时更新）完全未认证，让任何网络攻击者都能与任何用户的通知流交互。
影响分析
CordysCRM 将自己营销为 AI 驱动的 CRM；未认证的攻击者如果能劫持 SSE 通知通道，可以中断或欺骗 AI 代理驱动的 CRM 工作流，并可能通过会话/通知操纵进入更广泛的已认证应用程序表面。
攻击途径
SseController 将 /sse/subscribe、/sse/broadcast 和 /sse/close 暴露为匿名（未认证）端点，因为 ShiroFilter 的 public-path 配置允许 SSE 路径不进行任何授权检查，允许远程未认证攻击者订阅、广播或终止其他用户的实时通知流。
受影响系统
CordysCRM < 1.7.2 版本
缓解措施
升级到 CordysCRM 1.7.2 或更高版本。