Podatności EspoCRM

W EspoCRM do wersji 9.3.10/10.0.10 wykryto podatność w funkcji ImageSourceProvider::get w pliku application/Espo/Tools/Pdf/Dompdf/ImageSourceProvider.php, w komponencie PDF Rendering Pipeline. Manipulacja argumentem ID prowadzi do obejścia autoryzacji. Atak można zainicjować zdalnie. Poprawka nosi nazwę 91a9edbcedb9c7aa8e3d3ac81d8a7acccb99bca2 i zaleca się jej zainstalowanie.

W EspoCRM przed wersją 10.0.3 użytkownik z dostępem do edycji szablonów e-mail i wysyłania masowych wiadomości może odwołać się do zastrzeżonych pól rekordów w szablonie, ponieważ mechanizm renderowania przestaje filtrować te pola, gdy stosowanie ACL per użytkownik jest wyłączone. To samo zachowanie dotyczy automatycznych odpowiedzi grupowych, gdy zwykły użytkownik może edytować wybrany szablon. Renderowane wiadomości mogą ujawniać zastrzeżone pola użytkowników.

W EspoCRM przed wersją 9.3.10 uwierzytelniony administrator może dostarczyć spreparowane dane wejściowe do administracyjnego Label Manager. Niewystarczająca walidacja ścieżek pozwala na wyjście poza zamierzony katalog i umożliwia odczyt, modyfikację, tworzenie lub usuwanie plików JSON dostępnych dla aplikacji, zależnie od uprawnień systemu plików i konfiguracji serwera.

EspoCRM to aplikacja CRM o otwartym kodzie źródłowym. Przed wersją 9.3.9 użytkownik z uprawnieniem do edycji szablonów e-mail lub PDF może zapisać spreparowany HTML omijający moderateSanitizeHtml(). Gdy inny użytkownik otworzy szablon w trybie edycji, a clientCspDisabled ma wartość true, zapisany ładunek zostaje wykonany i może przejąć sesję użytkownika. Naprawiono w wersji 9.3.9.

W aplikacji EspoCRM przed wersją 9.3.9 uwierzytelniony administrator może umieścić spreparowaną treść w ustawieniu applicationName poprzez wstrzyknięcie nonce CSP. Trwałe wstrzyknięcie trafia do głównej strony aplikacji bez escapowania, co pozwala na uruchomienie JavaScriptu w sesjach użytkowników i wyciek danych strony, w tym niezapisanych danych wprowadzonych przez użytkownika.

W EspoCRM od wersji 8.1.0 do 9.3.8 uwierzytelniony nieadministrator może przesłać spreparowany parametr where do endpointu GET entity streamAttachments, ponieważ ta ścieżka zapytania pozwala na złożone wyrażenia. Ślepa iniekcja SQL oparta na wartościach logicznych może wyodrębnić dowolne informacje z bazy danych, w tym aktywne tokeny sesji administratorów, i umożliwić pełną eskalację uprawnień.

W EspoCRM przed wersją 9.3.7 użytkownik o niskich uprawnieniach mający dostęp do współdzielonej listy TargetList może wywołać akcje opt-out lub cancel-opt-out dla chronionego Kontaktu lub Leada, którego nie może odczytać ani edytować. Usługa weryfikuje dostęp do listy docelowej, ale pobiera rekord docelowy bez wymaganej autoryzacji, co pozwala na nieautoryzowaną zmianę stanu opted_out.

W EspoCRM przed wersją 9.3.7 uwierzytelniony użytkownik z dostępem do zakresu Import może wysłać żądanie POST /api/v1/Import/{id}/exportErrors z identyfikatorem importu innego użytkownika i uzyskać identyfikator załącznika do pliku CSV zawierającego wiersze z tego importu. Punkt końcowy sprawdza zakres, ale pomija kontrolę własności na poziomie encji wymaganą przez Import AccessChecker i inne punkty końcowe Import.

EspoCRM w wersji od 4.0.0 do 10.0.7 zawiera podatność kontroli dostępu, która pozwala uwierzytelnionym użytkownikom na odczyt wartości pól audytowanych, ograniczonych przez zabezpieczenia na poziomie pola, poprzez pobieranie pojedynczych notatek strumienia. Użytkownicy z dostępem do strumienia rekordu nadrzędnego mogą wywołać GET /Note/{id}, co pomija filtr NoteAccessControl i ujawnia wartości data.attributes.was i became dla zastrzeżonych pól.

EspoCRM w wersjach przed 10.0.6 zawiera podatność obejścia uwierzytelniania, która akceptuje logowanie zatrzymane na drugim etapie (2FA) na trasach niewymagających uwierzytelniania. Atakujący znający nazwę użytkownika i hasło użytkownika z włączonym 2FA może pominąć drugi czynnik i odczytać parametry konfiguracji nieujawniane publicznie.

Podatność na przejście do katalogu w EspoCRM przed wersją 2.6.0 umożliwia zdalnym atakującym dołączenie i wykonanie dowolnych lokalnych plików poprzez użycie sekwencji .. (kropka kropka) w parametrze action w pliku install/index.php.

W EspoCRM przed wersją 9.3.7 uwierzytelniony administrator może dostarczyć spreparowane dane serializowanego obiektu PHP, które są przechowywane w parametrach MassAction lub Export, a następnie deserializowane bez ograniczeń klas, co prowadzi do wykonania dowolnego kodu.

EspoCRM przed 9.3.11 oraz 10.x przed 10.0.8 zawiera podatność na odmowę usługi, w której wyrażenie regularne redagujące hasła stosowane podczas obsługi błędów API zużywa nadmierną ilość CPU przy długich treściach żądań. Nieuwierzytelnieni zdalni atakujący mogą równolegle wysłać niewielką liczbę dużych żądań API, aby wyczerpać procesy robocze serwera i spowolnić lub unieruchomić EspoCRM dla legalnych użytkowników.

EspoCRM to aplikacja open source do zarządzania relacjami z klientami. Przed wersją 10.0.2 uwierzytelniony użytkownik z uprawnieniem do masowej aktualizacji może podać znany identyfikator załącznika do funkcji masowej aktualizacji. Procesor masowej aktualizacji duplikuje załącznik bez sprawdzenia, czy wywołujący może go odczytać, omijając ograniczenia na poziomie rekordów i pól oraz ujawniając zawartość pliku poprzez skopiowany załącznik. Uzyskanie prawidłowego identyfikatora załącznika może być trudne. Problem naprawiono w wersji 10.0.2.

W EspoCRM przed wersją 9.3.9 nieuwierzytelniony zdalny atakujący może wysłać e-mail na monitorowany adres grupowy lub IMAP (w tym e-mail-to-Case) z dowolnym kodem HTML w treści tekstowej. EspoCRM przechowuje tę treść i renderuje ją bez escapowania w powiadomieniach e-mail o odebranych wiadomościach, co umożliwia wstrzyknięcie HTML, a w klientach pocztowych wykonujących skrypty — wykonanie JavaScript.

W EspoCRM przed wersją 9.3.9 funkcja sanitizeCellValue() sprawdza tylko pierwszy bajt wartości. Uwierzytelniony użytkownik o niskich uprawnieniach może zapisać wartość, w której wyzwalacz formuły jest poprzedzony białym znakiem lub znakiem kontrolnym, co powoduje pominięcie prefiksu neutralizującego formułę w eksporcie CSV/XLSX. Gdy uprzywilejowany użytkownik otworzy plik i zaakceptuje monity bezpieczeństwa, arkusz kalkulacyjny może wykonać formułę, co umożliwia ujawnienie danych, a w konfiguracjach z włączonym DDE — wykonanie poleceń.

W EspoCRM przed wersją 9.3.7 użytkownik portalu z dostępem do strumienia rekordu nadrzędnego może bezpośrednio pobrać notatkę przez portalowe API Note i odczytać wewnętrzną notatkę strumienia, jeśli zna jej identyfikator. Lista strumienia poprawnie ukrywa notatki z isInternal=true, ale bezpośredni dostęp do pojedynczej notatki nie egzekwuje tego ograniczenia, ujawniając wewnętrzne treści agentów.

EspoCRM w wersji od 4.0.0 do 10.0.7 zawiera podatność niewłaściwej kontroli dostępu, która pozwala uwierzytelnionym użytkownikom na odczyt zastrzeżonych wartości emailAddress poprzez API wyszukiwania w książce adresowej. Użytkownicy z dostępem do rekordu mogą zapytać książkę adresową, aby uzyskać adresy e-mail, nawet gdy Role ograniczają pole emailAddress.

EspoCRM przed wersją 10.0.7 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom z dostępem do zakresu Import na odczyt załączników innych użytkowników poprzez podanie obcego attachmentId do endpointu Import. Atakujący mogą utworzyć rekord Import odwołujący się do znanego identyfikatora załącznika, a następnie wywołać endpoint eksportu błędów, aby skopiować wiersze źródłowe do własnego pliku CSV do pobrania.

EspoCRM w wersjach przed 10.0.5 zawiera podatność typu Insecure Direct Object Reference w PersonalAccount\Service. Użytkownicy z dostępem do zakresu Email Account mogą pobierać hasła IMAP innych użytkowników, znając identyfikator rekordu konta e-mail ofiary.

EspoCRM w wersjach przed 10.0.6 zawiera podatność trwałego wstrzyknięcia HTML, która pozwala nieuwierzytelnionym atakującym wstrzyknąć HTML poprzez przesłanie spreparowanych danych w publicznym formularzu Lead Capture. Treść żądania jest zapisywana w LeadCaptureLogRecord.data i renderowana bez escapowania, gdy administratorzy przeglądają rekord dziennika, choć Content Security Policy blokuje wykonanie JavaScriptu.

EspoCRM do wersji 10.0.8 używa funkcji PHP rand() do generowania tokenów dla opt-in lead-capture, zaproszeń na wydarzenia i adresów URL kampanii, zamiast kryptograficznie bezpiecznego generatora. Zdalni nieuwierzytelnieni atakujący mogą odgadnąć te około 31-bitowe tokeny, aby potwierdzić opt-iny, zaakceptować lub odrzucić zaproszenia na wydarzenia w imieniu innych kontaktów oraz uzyskać dostęp do szczegółów wydarzeń.

EspoCRM przed wersją 10.0.4 zawiera podatność polegającą na obejściu zabezpieczeń na poziomie pól w punktach końcowych dotyczących uczestników spotkań i połączeń. Uwierzytelnieni użytkownicy mogą odczytywać zastrzeżone adresy e-mail, wykorzystując nieprawidłową walidację zakresu ACL, która sprawdza uprawnienia zdarzenia nadrzędnego zamiast uprawnień encji uczestnika.

EspoCRM w wersjach przed 10.0.4 jest podatny na Server-Side Request Forgery (SSRF). Funkcja HostCheck::ipAddressIsNotInternal() usuwa prefiksy ::ffff: (IPv4-mapped IPv6), ale nie rozpoznaje adresów przejściowych IPv6 osadzających prywatne adresy IPv4: NAT64 (64:ff9b::), 6to4 (2002::) i Teredo (2001:0000::). Atakujący kontrolujący domenę z rekordami AAAA wskazującymi na takie adresy może obejść walidację wewnętrznego hosta oraz kontrolę przypinania IP CURLOPT_RESOLVE, powodując wysyłanie przez EspoCRM żądań wychodzących do wewnętrznych usług sieciowych.

EspoCRM w wersjach 9.3.3 i niższych pozwala uwierzytelnionym użytkownikom na przesyłanie załączników SVG przez standardowe pola obsługujące załączniki, a następnie wyświetlanie tych plików SVG jako dokumentów inline, co prowadzi do trwałego XSS między użytkownikami. Mimo że CSP blokuje skrypty inline SVG, pozwala na skrypty z tego samego źródła, więc atakujący może przesłać złośliwy SVG wraz z drugim załącznikiem JavaScript i nakłonić ofiarę do otwarcia SVG w celu wykonania kodu.

Podatność w EspoCRM 5.7.0 do 5.9.0 umożliwia ponowne użycie tokenów uwierzytelniających, co pozwala uwierzytelnionym atakującym ominąć dwuskładnikowe uwierzytelnianie (2FA). Tokeny są powiązane z hasłami, a nie z unikalnymi wartościami dla użytkownika, co umożliwia ich replikację na inne konta z tym samym hasłem.

EspoCRM w wersjach przed 9.1.9 zawiera podatność umożliwiającą tworzenie dowolnych kont użytkowników, w tym administracyjnych, poprzez połączenie wstrzyknięcia SVG i braku ochrony CSRF. Atakujący z uprawnieniami do edycji bazy wiedzy może osadzić złośliwy link, który po kliknięciu przez uwierzytelnionego użytkownika wykonuje żądanie CSRF do endpointu api/v1/User.