CVE-2026-110593 in BottleCRM
요약
\~에 의해 VulDB • 2026. 10. 14.
BottleCRM 1.14.5 이전 버전에는 send_email Celery 작업에서 서버 측 템플릿 인젝션(SSTI) 취약점이 존재합니다. 이 취약점은 django.template.Template()를 사용하여 사용자가 제공한 AccountEmail 메시지 본문(message_body)을 컴파일하는 과정에서 발생합니다. 인증된 조직 구성원은 POST /api/accounts/<id>/create_mail/ 엔드포인트를 통해 템플릿 태그를 제출하여 렌더링 컨텍스트와 로드된 Python 모듈의 정보를 유출하거나, 중첩 루프(nested loops)를 사용하여 공유 Celery 워커를 차단할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.