🇰🇷 한글 설명
EspoCRM 10.0.2 미만 버전에서 인증된 사용자가 대량 업데이트 권한을 이용해 특정 첨부파일 식별자를 입력할 경우, 시스템이 권한 확인 없이 파일을 복제하는 취약점이 존재합니다. 이를 통해 레코드 및 필드 수준의 제한을 우회하여 파일 내용을 노출시킬 수 있습니다. 해당 문제는 10.0.2 버전에서 수정되었습니다.
💡 쉬운 설명
권한이 있는 사용자가 시스템의 업데이트 기능을 악용하여, 원래 볼 수 없는 다른 사람의 파일을 몰래 복사해서 볼 수 있는 보안 결함입니다. 파일의 고유 번호만 알면 보안 규칙을 무시하고 내용을 확인할 수 있습니다.
🇺🇸 원문 (English)
EspoCRM is an open source customer relationship management application. Prior to 10.0.2, an authenticated user with mass-update permission can supply a known attachment identifier to the mass-update functionality. The mass-update processor duplicates the attachment without checking whether the caller can read it, bypassing record-level and field-level restrictions and exposing the file contents through the copied attachment. Obtaining a valid attachment identifier may be difficult. This issue is fixed in version 10.0.2.
📍 영향받는 시스템
EspoCRM 10.0.2 미만 모든 버전
⚔️ 공격 벡터
대량 업데이트(mass-update) 기능을 통해 권한이 없는 첨부파일의 식별자를 입력하여 파일 복제 및 탈취
🛡️ 대응 방법
EspoCRM을 최신 보안 패치가 적용된 10.0.2 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 10.0.2 이상의 버전 번호가 포함되어 있으면 취약점이 해결된 상태입니다.
curl -s http://<target-ip>/api/v1/version | grep -E '10.0.2'