CVE-2026-110593
Açıklama
BottleCRM 1.14.5 ve öncesi sürümler, kullanıcı tarafından sağlanan AccountEmail message_body içeriğini django.template.Template() ile derleyen send_email Celery görevinde bir sunucu tarafı şablon enjeksiyonu (SSTI) zafiyeti içermektedir. Kimliği doğrulanmış organizasyon üyeleri, POST /api/accounts/<id>/create_mail/ üzerinden şablon etiketleri göndererek işleme bağlamını ve yüklü Python modüllerini ifşa edebilir veya iç içe döngülerle paylaşılan Celery çalışanını engelleyebilirler.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| MicroPyramid BottleCRM | v ≤ 1.14.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.