CVE-2026-110595
ŚrednieCVSS 4.3Streszczenie
BottleCRM w wersjach od 0.45 do 1.14.5 zawiera podatność niekontrolowanej alokacji pamięci w funkcji _read_upload(), która odczytuje całe przesłane pliki CSV przed zastosowaniem limitu 5 MB. Uwierzytelnieni użytkownicy z uprawnieniem do masowego importu mogą równocześnie wysyłać zbyt duże pliki CSV do punktów końcowych /api/contacts/import/ i /api/cases/import/, wyczerpując pamięć procesów roboczych i powodując zakończenie z powodu braku pamięci.
Ocena ryzyka
Atak może doprowadzić do wyczerpania pamięci i zatrzymania procesów roboczych, powodując niedostępność usługi dla wszystkich użytkowników.
Rekomendacja
Zaktualizuj BottleCRM do wersji nowszej niż 1.14.5 lub zastosuj poprawkę producenta, a do czasu aktualizacji ogranicz uprawnienia do masowego importu i rozmiar przesyłanych plików.
Inne podatności w BottleCRM
Zobacz wszystkie- CVE-2026-110594Średnie
BottleCRM w wersjach od 0.43 do 1.14.5 zawiera podatność typu regular expression denial of service, która pozwala uwierzytelnionym administratorom organizacji blokować procesy robocze poprzez nieograniczone wzorce wyrażeń regularnych w regułach routingu. Atakujący może utworzyć regułę routingu z katastrofalnie backtrackującym wzorcem ocenianym przez _match_condition() podczas zapisywania spraw, wyczerpując procesy robocze współdzielone przez wszystkich najemców.
- CVE-2026-110593Średnie
BottleCRM do wersji 1.14.5 zawiera podatność typu server-side template injection w zadaniu Celery send_email, które kompiluje treść message_body dostarczoną przez użytkownika za pomocą django.template.Template(). Uwierzytelnieni członkowie organizacji mogą przesyłać znaczniki szablonów przez POST /api/accounts/<id>/create_mail/, aby ujawnić kontekst renderowania i załadowane moduły Pythona lub zablokować współdzielony proces roboczy Celery za pomocą zagnieżdżonych pętli.
- CVE-2026-110592Niskie
BottleCRM w wersjach od 0.30 do 1.14.5 zawiera podatność wstrzyknięcia HTML w funkcji render_invoice_template(), umożliwiającą uwierzytelnionym członkom organizacji wstrzyknięcie znaczników do niestandardowych szablonów faktur PDF. Atakujący może umieścić HTML i CSS w polach notatek, warunków, nazwy lub adresu klienta, aby nakładać sumy, odbiorcę i instrukcje płatności w plikach PDF udostępnianych przez pobieranie, linki publiczne i e-maile.
Oryginalny opis (angielski, źródło NVD)
BottleCRM 0.45 through 1.14.5 contains an uncontrolled memory allocation vulnerability in _read_upload() that reads entire CSV uploads before enforcing the 5 MB limit. Authenticated users with mass-import permission can send oversized CSV files concurrently to /api/contacts/import/ and /api/cases/import/ endpoints to exhaust worker memory and trigger out-of-memory termination.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS