CVE-2023-46736
Açıklama
EspoCRM, Açık Kaynak bir CRM (Müşteri İlişkileri Yönetimi) yazılımıdır. Etkilenen sürümlerde, url'den görsel yükleme api'si aracılığıyla Sunucu Tarafı İstek Sahtekarlığı (SSRF) güvenlik açığı bulunmaktadır. `/Attachment/fromImageUrl` uç noktasına erişimi olan kullanıcılar, dahili bir ana bilgisayarı işaret eden URL belirtebilir. İçerik türü için kontrol olsa da, bazı durumlarda yönlendirmelerle bu kontrol atlatılabilir. Bu SSRF, (bazı durumlarda) dahili bilgilerin açığa çıkarılması, dahili ana bilgisayarların hedeflenmesi ve güvenlik duvarlarının atlatılması için kullanılabilir. Bu güvenlik açığı, 8.0.5 sürümünde yer alan `c536cee63` commit'inde giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| espocrm espocrm | v ≤ 8.0.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.