🇰🇷 한글 설명
yshop-crm 2.1.3 이하 버전의 CrmCustomerController 내 saveRedisSet 및 getRedisSet 엔드포인트에서 권한 검증이 누락되었습니다. 이로 인해 인증된 백오피스 사용자가 설치 전체에 적용되는 리드 할당 및 고객 자동 재활용 정책을 읽거나 수정할 수 있습니다. 공격자는 이를 통해 고객 데이터를 대량 삭제하거나, 리드 재활용을 비활성화하거나, 고객 생성을 차단할 수 있습니다.
💡 쉬운 설명
회사 관리자 권한을 가진 사용자가 원래는 건드리면 안 되는 중요한 설정값을 마음대로 바꿀 수 있는 보안 약점입니다. 이 설정을 잘못 바꾸면 고객 정보가 한꺼번에 삭제되거나 새로운 고객 등록이 안 되는 큰 문제가 생길 수 있습니다.
🇺🇸 원문 (English)
yshop-crm through 2.1.3 fails to enforce authorization on the saveRedisSet and getRedisSet endpoints in CrmCustomerController, allowing any authenticated back-office user to read and modify installation-wide lead-allocation and customer auto-recycling policy. Attackers can invoke these endpoints to manipulate shared Redis keys controlling customer auto-recycling behavior, causing mass customer data deletion, disabling lead recycling, or blocking customer creation across the deployment.
📍 영향받는 시스템
yshop-crm 2.1.3 이하 버전
⚔️ 공격 벡터
인증된 백오피스 사용자가 권한 검증이 없는 특정 API 엔드포인트를 호출하여 Redis 키 조작
🛡️ 대응 방법
CrmCustomerController의 saveRedisSet 및 getRedisSet 엔드포인트에 적절한 권한 검증 로직을 적용하고 최신 버전으로 업데이트
🔧 검증 코드
해당 API 호출 시 권한 오류(401 또는 403)가 발생하지 않고 데이터가 반환되면 취약한 상태입니다.
curl -s http://<target-ip>/api/crm/customer/getRedisSet | grep -E 'error|unauthorized|forbidden'