🇰🇷 한글 설명
EspoCRM 9.3.3 이하 버전의 /api/v1/Email/importEml 엔드포인트에서 IDOR 취약점이 발견되었습니다. 공격자는 권한이 없는 다른 사용자의 fileId를 사용하여 이메일 첨부파일(.eml)을 자신의 메일함으로 가져와 내용을 읽을 수 있습니다. 이 과정에서 원래 피해자의 첨부파일 레코드가 삭제되는 부작용이 발생합니다.
💡 쉬운 설명
로그인한 사용자가 다른 사람의 파일 번호를 입력하여 허락 없이 이메일 첨부파일을 몰래 가져올 수 있는 보안 결함입니다. 이 과정에서 원래 파일이 삭제될 수도 있어 데이터 유출과 손실 위험이 모두 존재합니다.
🇺🇸 원문 (English)
EspoCRM is an open source customer relationship management application. In versions 9.3.3 and below, the POST /api/v1/Email/importEml endpoint contains an Insecure Direct Object Reference (IDOR) vulnerability where the attacker-supplied fileId parameter is used to fetch any attachment directly from the repository without verifying that the current user has authorization to access it. Any authenticated user with Email:create and Import permissions can exploit this to read another user's .eml attachment contents by importing them as a new email into the attacker's mailbox, while the original victim attachment record is deleted as a side effect of the import flow. This is inconsistent with the standard attachment download path, which enforces ACL checks before returning file data, and is practically exploitable because attachment IDs are commonly exposed in normal UI and API workflows such as stream payloads and download links. This issue is fixed in version 9.3.4.
📍 영향받는 시스템
EspoCRM 9.3.3 및 그 이하 모든 버전
⚔️ 공격 벡터
인증된 사용자가 API 요청 시 조작된 fileId 파라미터를 사용하여 타인의 첨부파일을 호출
🛡️ 대응 방법
EspoCRM을 최신 보안 패치가 적용된 버전 9.3.4 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 9.3.0에서 9.3.3 사이라면 해당 취약점에 노출된 상태입니다.
curl -s http://<target_ip>/api/v1/version | grep -E '9\.(3\.[0-3])'