🇰🇷 한글 설명
BottleCRM 1.14.5 이하 버전의 send_email Celery 작업에서 서버 측 템플릿 주입(SSTI) 취약점이 발견되었습니다. 인증된 조직 구성원이 특정 API를 통해 악의적인 템플릿 태그를 전송하면 내부 데이터가 유출되거나 무한 루프를 통해 서비스가 중단될 수 있습니다.
💡 쉬운 설명
사용자가 입력한 메시지 내용이 서버에서 코드로 잘못 처리되어 발생하는 보안 문제입니다. 공격자가 이를 이용해 서버의 중요한 정보를 훔쳐보거나 시스템을 멈추게 만들 수 있습니다.
🇺🇸 원문 (English)
BottleCRM through 1.14.5 contains a server-side template injection vulnerability in the send_email Celery task, which compiles the user-supplied AccountEmail message_body with django.template.Template(). Authenticated organization members can submit template tags through POST /api/accounts/<id>/create_mail/ to disclose the rendering context and loaded Python modules, or block the shared Celery worker with nested loops.
📍 영향받는 시스템
BottleCRM 1.14.5 및 그 이전 버전
⚔️ 공격 벡터
인증된 사용자가 POST /api/accounts/<id>/create_mail/ 경로로 악의적인 템플릿 태그가 포함된 데이터를 전송
🛡️ 대응 방법
BottleCRM을 최신 보안 패치가 적용된 버전으로 업데이트하거나, 사용자 입력값이 템플릿 엔진에 직접 전달되지 않도록 코드를 수정해야 합니다.
🔧 검증 코드
출력된 버전이 1.14.5 이하인지 확인하여 취약 여부를 판단합니다.
pip show bottlecrm | grep Version