CVE-2026-110593
ŚrednieCVSS 5.4Streszczenie
BottleCRM do wersji 1.14.5 zawiera podatność typu server-side template injection w zadaniu Celery send_email, które kompiluje treść message_body dostarczoną przez użytkownika za pomocą django.template.Template(). Uwierzytelnieni członkowie organizacji mogą przesyłać znaczniki szablonów przez POST /api/accounts/<id>/create_mail/, aby ujawnić kontekst renderowania i załadowane moduły Pythona lub zablokować współdzielony proces roboczy Celery za pomocą zagnieżdżonych pętli.
Ocena ryzyka
Atak może doprowadzić do ujawnienia informacji o kontekście i modułach Pythona oraz do zablokowania współdzielonego procesu roboczego Celery, powodując odmowę usługi.
Rekomendacja
Zaktualizuj BottleCRM do wersji nowszej niż 1.14.5 lub zastosuj poprawkę producenta, a do czasu aktualizacji ogranicz możliwość tworzenia szablonów wiadomości e-mail przez użytkowników.
Inne podatności w BottleCRM
Zobacz wszystkie- CVE-2026-110595Średnie
BottleCRM w wersjach od 0.45 do 1.14.5 zawiera podatność niekontrolowanej alokacji pamięci w funkcji _read_upload(), która odczytuje całe przesłane pliki CSV przed zastosowaniem limitu 5 MB. Uwierzytelnieni użytkownicy z uprawnieniem do masowego importu mogą równocześnie wysyłać zbyt duże pliki CSV do punktów końcowych /api/contacts/import/ i /api/cases/import/, wyczerpując pamięć procesów roboczych i powodując zakończenie z powodu braku pamięci.
- CVE-2026-110594Średnie
BottleCRM w wersjach od 0.43 do 1.14.5 zawiera podatność typu regular expression denial of service, która pozwala uwierzytelnionym administratorom organizacji blokować procesy robocze poprzez nieograniczone wzorce wyrażeń regularnych w regułach routingu. Atakujący może utworzyć regułę routingu z katastrofalnie backtrackującym wzorcem ocenianym przez _match_condition() podczas zapisywania spraw, wyczerpując procesy robocze współdzielone przez wszystkich najemców.
- CVE-2026-110592Niskie
BottleCRM w wersjach od 0.30 do 1.14.5 zawiera podatność wstrzyknięcia HTML w funkcji render_invoice_template(), umożliwiającą uwierzytelnionym członkom organizacji wstrzyknięcie znaczników do niestandardowych szablonów faktur PDF. Atakujący może umieścić HTML i CSS w polach notatek, warunków, nazwy lub adresu klienta, aby nakładać sumy, odbiorcę i instrukcje płatności w plikach PDF udostępnianych przez pobieranie, linki publiczne i e-maile.
Oryginalny opis (angielski, źródło NVD)
BottleCRM through 1.14.5 contains a server-side template injection vulnerability in the send_email Celery task, which compiles the user-supplied AccountEmail message_body with django.template.Template(). Authenticated organization members can submit template tags through POST /api/accounts/<id>/create_mail/ to disclose the rendering context and loaded Python modules, or block the shared Celery worker with nested loops.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS