🇰🇷 한글 설명
EspoCRM 10.0.3 미만 버전에서 이메일 템플릿 편집 및 대량 메일 발송 권한이 있는 사용자가 제한된 레코드 필드에 접근할 수 있는 취약점이 발견되었습니다. ACL(액세스 제어 목록) 적용이 비활성화될 경우 렌더러가 필터링을 중단하여, 그룹 이메일 자동 응답 등을 통해 제한된 사용자 정보가 노출될 수 있습니다.
💡 쉬운 설명
이메일 양식을 수정할 수 있는 권한을 가진 사람이 원래는 볼 수 없는 비밀 정보가 담긴 칸을 이메일 양식에 몰래 넣어 내용을 확인할 수 있는 문제입니다. 이를 통해 개인정보와 같은 민감한 데이터가 외부로 유출될 위험이 있습니다.
🇺🇸 원문 (English)
EspoCRM is an open source customer relationship management application. Prior to 10.0.3, a user with email-template edit access and mass-email sending access can reference restricted record fields in a template because the renderer stops filtering those fields when per-user ACL application is disabled. The same behavior affects group email auto-replies when a regular user can edit the selected template, even though an administrator controls the group email. Rendered messages can disclose restricted user fields. This issue is fixed in version 10.0.3.
📍 영향받는 시스템
EspoCRM 10.0.3 미만 모든 버전
⚔️ 공격 벡터
이메일 템플릿 편집 권한을 가진 사용자가 제한된 필드 참조 코드를 삽입하여 렌더링된 메시지를 통해 정보를 탈취
🛡️ 대응 방법
EspoCRM을 최신 보안 패치가 적용된 10.0.3 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 10.0.3 이상인지 확인하여 취약점 여부를 판단합니다.
curl -s http://<target-ip>/api/v1/version | grep -E '10.0.3'