| Title | EspoCRMにおける複数の脆弱性 |
|---|---|
| Summary | EspoCRMはオープンソースの顧客関係管理アプリケーションです。バージョン9.3.3以下において、POST /api/v1/Attachment/fromImageUrlエンドポイントにはDNSリバインディング（TOCTOU）条件によるサーバーサイドリクエストフォージェリ（SSRF）の脆弱性があります。ホストの検証はdns_get_record()を使用していますが、実際のHTTPリクエストはcurlの内部リゾルバ（gethostbyname()）を通じてホスト名を解決するため、同一ホスト名に対して二つのルックアップが異なるIPアドレスを返す可能性があります。二次的な問題として、DNS失敗、IPv6専用ドメイン、または存在しないホスト名による空のDNS結果が検証を暗黙的に通過させ、ホストをさらにチェックせずに許可してしまいます。認証済みの攻撃者がデフォルトの添付ファイル作成権限を持っている場合、このギャップを悪用して内部IP制限を回避し、内部ネットワークのポートスキャン、内部ホストの存在確認、および内部HTTPベースサービスとの対話が可能です。ただし、バイナリプロトコルサービスからのデータ抽出とリモートコード実行はこのエンドポイントを通じては不可能です。この問題はバージョン9.3.4で修正されました。 |
| Possible impacts | 当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | April 13, 2026, midnight |
| Registration Date | April 23, 2026, 10:12 a.m. |
| Last Update | April 23, 2026, 10:12 a.m. |
| CVSS3.0 : 低 | |
| Score | 3.1 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N |
| EspoCRM |
| EspoCRM 9.3.4 未満 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年04月23日] 掲載 |
April 23, 2026, 10:12 a.m. |
| Summary | EspoCRM is an open source customer relationship management application. In versions 9.3.3 and below, the POST /api/v1/Attachment/fromImageUrl endpoint is vulnerable to Server-Side Request Forgery (SSRF) via a DNS rebinding (TOCTOU) condition. Host validation uses dns_get_record() but the actual HTTP request resolves hostnames through curl's internal resolver (gethostbyname()), allowing the two lookups to return different IP addresses for the same hostname. A secondary issue exists where an empty DNS result (due to DNS failure, IPv6-only domains, or non-existent hostnames) causes the validation to implicitly allow the host without further checks. An authenticated attacker with default attachment creation access can exploit this gap to bypass internal IP restrictions and scan internal network ports, confirm the existence of internal hosts, and interact with internal HTTP-based services, though data extraction from binary protocol services and remote code execution are not possible through this endpoint. This issue has been fixed in version 9.3.4. |
|---|---|
| Publication Date | April 14, 2026, 6:16 a.m. |
| Registration Date | April 15, 2026, 11:39 a.m. |
| Last Update | April 22, 2026, 9:07 a.m. |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:espocrm:espocrm:*:*:*:*:*:*:*:* | 9.3.4 | ||||