🇰🇷 한글 설명
EspoCRM 9.3.7 미만 버전에서 발생하는 취약점으로, Import 권한을 가진 인증된 사용자가 다른 사용자의 가져오기 식별자를 사용하여 CSV 오류 내역이 담긴 첨부파일 식별자를 탈취할 수 있습니다. 해당 엔드포인트가 엔티티 수준의 소유권 확인을 누락하여 발생하며, 9.3.7 버전에서 수정되었습니다.
💡 쉬운 설명
로그인한 사용자가 권한을 악용하여 다른 사람이 업로드한 데이터의 오류 내용을 담은 파일을 몰래 가져올 수 있는 문제입니다. 개인정보가 포함된 데이터가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
EspoCRM is an open source customer relationship management application. Prior to 9.3.7, an authenticated user with Import scope access can send POST /api/v1/Import/{id}/exportErrors with another user's import identifier and retrieve an attachment identifier for a CSV containing rows from that import. The endpoint performs a scope-level check but omits the entity-level ownership check enforced by the Import AccessChecker and sibling Import endpoints. This issue is fixed in version 9.3.7.
📍 영향받는 시스템
EspoCRM 9.3.7 미만 모든 버전
⚔️ 공격 벡터
인증된 사용자가 다른 사용자의 Import ID를 사용하여 특정 API 엔드포인트에 POST 요청을 전송
🛡️ 대응 방법
EspoCRM을 최신 보안 패치가 적용된 9.3.7 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 9.3.7 이상인지 확인하여 취약 여부를 판단합니다.
curl -s http://<target_ip>/api/v1/version | grep -E '9\[\.\]3\.[7-9]'