🇰🇷 한글 설명
EspoCRM 8.1.0부터 9.3.8 버전까지 인증된 비관리자 사용자가 get entity streamAttachments 엔드포인트에 조작된 where 파라미터를 전송하여 SQL 인젝션을 수행할 수 있습니다. 이를 통해 관리자 세션 토큰을 포함한 데이터베이스 정보를 탈취하고 권한을 상승시킬 수 있습니다.
💡 쉬운 설명
로그인 권한이 있는 일반 사용자가 특수한 명령어를 입력하여 데이터베이스의 비밀 정보를 몰래 빼낼 수 있는 취약점입니다. 이를 통해 관리자 권한을 뺏어 시스템 전체를 장악할 위험이 있습니다.
🇺🇸 원문 (English)
EspoCRM is an open source customer relationship management application. From 8.1.0 until 9.3.8, an authenticated non-administrator can submit a crafted where parameter to the GET entity streamAttachments endpoint because that query path permits complex expressions. Boolean-based blind SQL injection can extract arbitrary database information, including active administrator session tokens, and can enable full privilege escalation. This issue is fixed in version 9.3.8.
📍 영향받는 시스템
EspoCRM 8.1.0 ~ 9.3.8
⚔️ 공격 벡터
인증된 사용자가 GET 요청의 where 파라미터에 Boolean-based blind SQL injection 페이로드를 삽입하여 공격
🛡️ 대응 방법
EspoCRM을 최신 보안 패치가 적용된 버전인 9.3.8 이상으로 업데이트하십시오.