🇰🇷 한글 설명
EspoCRM 9.3.7 미만 버전에서 발생하는 취약점으로, 낮은 권한을 가진 사용자가 공유된 TargetList에 접근할 수 있다면 읽기나 수정 권한이 없는 연락처(Contact) 또는 잠재 고객(Lead)의 수신 거부(opt-out) 상태를 임의로 변경할 수 있습니다. 서비스가 타겟 리스트에 대한 접근은 검증하지만, 개별 레코드에 대한 권한 검증 없이 데이터를 가져오기 때문에 발생합니다.
💡 쉬운 설명
권한이 낮은 사용자가 자신이 볼 수 없는 고객 정보의 수신 거부 설정을 마음대로 바꿀 수 있는 문제입니다. 시스템이 목록은 확인하지만 실제 고객 정보에 대한 접근 권한은 제대로 체크하지 않아 발생합니다.
🇺🇸 원문 (English)
EspoCRM is an open source customer relationship management application. Prior to 9.3.7, a low-privileged user who can access a shared TargetList can invoke opt-out or cancel-opt-out actions for a protected Contact or Lead that the user cannot read or edit. The service validates access to the target list but retrieves the target record without the required record authorization, allowing unauthorized changes to its opted_out relationship state. This issue is fixed in version 9.3.7.
📍 영향받는 시스템
EspoCRM 9.3.7 미만 모든 버전
⚔️ 공격 벡터
공유된 TargetList를 통해 권한이 없는 특정 레코드의 opt-out 상태를 변경하는 API 호출
🛡️ 대응 방법
EspoCRM을 최신 보안 패치가 적용된 버전인 9.3.7 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 9.3.7보다 낮으면 취약한 상태이며, 9.3.7 이상이면 안전합니다.
curl -s http://<target-ip>/api/v1/version | grep -E '9.3.7'