CVE-2026-110593 in BottleCRM
Résumé
par VulDB • 14/10/2026
BottleCRM jusqu'à la version 1.14.5 contient une vulnérabilité d'injection de modèle côté serveur (SSTI) dans la tâche Celery send_email, qui compile le champ message_body du AccountEmail fourni par l'utilisateur avec django.template.Template(). Les membres organisés authentifiés peuvent soumettre des balises de template via POST /api/accounts/<id>/create_mail/ pour divulguer le contexte d'inférence et les modules Python chargés, ou bloquer le worker Celery partagé à l'aide de boucles imbriquées.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.