🇰🇷 한글 설명
EspoCRM 9.3.9 미만 버전에서 인증된 관리자가 applicationName 설정에 조작된 콘텐츠를 삽입하여 CSP nonce 인젝션을 수행할 수 있습니다. 이 지속성 인젝션은 이스케이프 처리 없이 메인 페이지에 삽입되어, 공격자가 제어하는 자바스크립트를 실행하고 미저장 사용자 입력값을 포함한 페이지 데이터를 유출할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 설정값을 조작하여 웹사이트에 악성 코드를 심을 수 있는 보안 취약점입니다. 이 코드가 실행되면 다른 사용자의 개인정보나 입력 중인 데이터가 해커에게 유출될 수 있습니다.
🇺🇸 원문 (English)
EspoCRM is an open source customer relationship management application. Prior to 9.3.9, an authenticated administrator can place crafted content in the applicationName setting through CSP nonce injection. The persistent injection is inserted into the main application page without escaping, allowing attacker-controlled JavaScript to run in users' sessions and leak page data, including unsaved user input. This issue is fixed in version 9.3.9.
📍 영향받는 시스템
EspoCRM 9.3.9 미만 모든 버전
⚔️ 공격 벡터
인증된 관리자가 applicationName 설정에 악성 스크립트를 삽입하는 방식 (Stored XSS)
🛡️ 대응 방법
EspoCRM을 최신 보안 패치가 적용된 9.3.9 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 9.3.9 미만인지 확인하여 취약 여부를 판단합니다.
curl -s http://<target_ip>/api/v1/system/info | grep -E 'version'