🇰🇷 한글 설명
CordysCRM 1.7.4 미만 버전에서 특정 API 호출 시 데이터 범위 제한을 위한 리소스 ID 바인딩이 누락되어 발생하는 취약점입니다. 인증된 사용자가 다른 사용자의 ID를 입력할 경우 권한 범위를 벗어난 고객 및 리드 정보를 조회할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 허용된 자신의 정보가 아닌, 다른 사람의 고객 연락처나 개인 정보를 몰래 훔쳐볼 수 있는 보안 결함입니다. 시스템이 '누구의 데이터인지'를 제대로 확인하지 않아 발생하는 문제입니다.
🇺🇸 원문 (English)
CordysCRM is an open source AI-powered customer relationship management system that supports private deployment. Prior to 1.7.4, GET /pool/lead/get/{id} in PoolClueController.get and GET /pool/account/get/{id} in PoolCustomerController.get use bare pool-read permission checks without the CsPermission resourceId binding that enforces per-record data scope. An authenticated user with the ordinary CLUE_MANAGEMENT_POOL:READ or CUSTOMER_MANAGEMENT_POOL:READ permission can supply another record's id and cause unscoped primary-key getters to return leads or accounts owned by other users, departments, or organizations. Exposed data includes contact names, phone numbers, owner and department attribution, and custom field values. This issue is fixed in version 1.7.4.
📍 영향받는 시스템
CordysCRM 1.7.4 미만 버전
⚔️ 공격 벡터
인증된 사용자가 API 요청 시 다른 레코드의 ID를 파라미터로 조작하여 전송 (IDOR)
🛡️ 대응 방법
CordysCRM을 보안 패치가 적용된 1.7.4 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 1.7.4 미만(예: 1.7.3 이하)이면 취약한 상태입니다.
curl -s -I http://<target-ip>/api/version | grep -i 'version'