CVE-2026-110593 in BottleCRM
要約
〜によって VulDB • 2026年10月14日
BottleCRM 1.14.5以前には、send_email Celeryタスクにおいてサーバーサイドテンプレートインジェクションの脆弱性が存在します。これは、ユーザーが提供したAccountEmailメッセージ本文をdjango.template.Template()でコンパイルする処理に関連しています。認証済み組織メンバーはPOST /api/accounts//create_mail/を通じてテンプレタグを送信し、レンダリングコンテキストや読み込まれたPythonモジュールを漏洩させるか、ネストされたループによって共有のCeleryワーカーを停止させることができます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.