🇰🇷 한글 설명
Roskus Prospero Flow CRM 5.14.0 미만 버전의 Excel 가져오기 핸들러에서 권한 우회 취약점이 발견되었습니다. 인증된 사용자가 엑셀 파일 내 company_id 컬럼을 조작하여 다른 회사의 테넌트에 고객, 리드, 제품 레코드를 생성할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 엑셀 파일을 조작하여 다른 회사의 데이터 영역에 몰래 정보를 입력할 수 있는 보안 결함입니다. 파일 안에 적힌 회사 ID를 시스템이 검증하지 않아 발생하는 문제입니다.
🇺🇸 원문 (English)
Authorization Bypass Through User-Controlled Key (CWE-639) in the Excel import handlers (CustomerImport, LeadImport, ProductImport) in Roskus Prospero Flow CRM before 5.14.0 allows a remote, authenticated user of any role or company to create customer, lead, and product records inside another company's tenant via a spreadsheet whose company_id column points to the victim tenant, uploaded to POST /customer/import/excel/save, which maps company_id directly from the file and performs no check that it matches the authenticated user's company.
📍 영향받는 시스템
Roskus Prospero Flow CRM version < 5.14.0
⚔️ 공격 벡터
조작된 company_id가 포함된 엑셀 파일을 POST /customer/import/excel/save 엔드포인트로 업로드
🛡️ 대응 방법
Roskus Prospero Flow CRM을 5.14.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 5.14.0 미만인 경우 해당 취약점에 노출된 상태입니다.
curl -s http://<target_ip>/api/version | grep -E '5\[0-9]\.[0-9]' | grep -v '5.14'