# WP-CRM System <=3.4.5 认证数据泄露漏洞

## 概述
WP-CRM System 插件中的 `wpcrm_get_email_recipients` 和 `wpcrm_system_ajax_task_change_status` AJAX 函数缺少权限检查，导致存在未授权访问漏洞。

## 影响版本
WordPress WP-CRM System 插件 3.4.5 及之前所有版本。

## 细节
漏洞源于两个 AJAX 函数未进行适当的用户能力（capability）验证：
- `wpcrm_get_email_recipients`：可被订阅者及以上权限用户调用，用于获取 CRM 联系人邮箱列表。
- `wpcrm_system_ajax_task_change_status`：可被订阅者及以上权限用户调用，用于更改 CRM 任务状态。

## 影响
经认证的攻击者（如订阅者角色）可利用该漏洞：
- 枚举 CRM 中所有联系人的电子邮件地址，导致个人身份信息（PII）泄露。
- 非法修改 CRM 任务的执行状态，破坏数据完整性。
                                        

是否为 Web 类漏洞： 未知

判断理由：