CVE-2026-110594
ŚrednieCVSS 4.9Streszczenie
BottleCRM w wersjach od 0.43 do 1.14.5 zawiera podatność typu regular expression denial of service, która pozwala uwierzytelnionym administratorom organizacji blokować procesy robocze poprzez nieograniczone wzorce wyrażeń regularnych w regułach routingu. Atakujący może utworzyć regułę routingu z katastrofalnie backtrackującym wzorcem ocenianym przez _match_condition() podczas zapisywania spraw, wyczerpując procesy robocze współdzielone przez wszystkich najemców.
Ocena ryzyka
Atak może doprowadzić do wyczerpania CPU i zablokowania procesów roboczych współdzielonych przez wszystkich najemców, powodując odmowę usługi.
Rekomendacja
Zaktualizuj BottleCRM do wersji nowszej niż 1.14.5 lub zastosuj poprawkę producenta, a do czasu aktualizacji ogranicz możliwość tworzenia reguł routingu przez administratorów organizacji.
Inne podatności w BottleCRM
Zobacz wszystkie- CVE-2026-110595Średnie
BottleCRM w wersjach od 0.45 do 1.14.5 zawiera podatność niekontrolowanej alokacji pamięci w funkcji _read_upload(), która odczytuje całe przesłane pliki CSV przed zastosowaniem limitu 5 MB. Uwierzytelnieni użytkownicy z uprawnieniem do masowego importu mogą równocześnie wysyłać zbyt duże pliki CSV do punktów końcowych /api/contacts/import/ i /api/cases/import/, wyczerpując pamięć procesów roboczych i powodując zakończenie z powodu braku pamięci.
- CVE-2026-110593Średnie
BottleCRM do wersji 1.14.5 zawiera podatność typu server-side template injection w zadaniu Celery send_email, które kompiluje treść message_body dostarczoną przez użytkownika za pomocą django.template.Template(). Uwierzytelnieni członkowie organizacji mogą przesyłać znaczniki szablonów przez POST /api/accounts/<id>/create_mail/, aby ujawnić kontekst renderowania i załadowane moduły Pythona lub zablokować współdzielony proces roboczy Celery za pomocą zagnieżdżonych pętli.
- CVE-2026-110592Niskie
BottleCRM w wersjach od 0.30 do 1.14.5 zawiera podatność wstrzyknięcia HTML w funkcji render_invoice_template(), umożliwiającą uwierzytelnionym członkom organizacji wstrzyknięcie znaczników do niestandardowych szablonów faktur PDF. Atakujący może umieścić HTML i CSS w polach notatek, warunków, nazwy lub adresu klienta, aby nakładać sumy, odbiorcę i instrukcje płatności w plikach PDF udostępnianych przez pobieranie, linki publiczne i e-maile.
Oryginalny opis (angielski, źródło NVD)
BottleCRM 0.43 through 1.14.5 contains a regular expression denial of service vulnerability that allows authenticated organization administrators to block web workers via unbounded routing rule regex patterns. Attackers can create a routing rule with a catastrophically backtracking pattern evaluated by _match_condition() during case saves, exhausting workers shared across all tenants.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS