BottleCRM : injection de template dans la tâche d’envoi de courriels

Veille sécuritéBackend & données

P4Moyenne

BottleCRM contient une injection de template côté serveur dans la tâche Celery `send_email` : un membre authentifié d’une organisation peut soumettre un contenu de courriel qui divulgue le contexte de rendu et les modules Python chargés, ou bloque le worker Celery partagé. La vulnérabilité est signalée jusqu’à la version 1.14.5 incluse; aucun correctif n’est indiqué dans les informations fournies.

IdentifiantCVE-2026-110593

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-110593

Analyse technique

La tâche `send_email` compile le champ utilisateur `AccountEmail.message_body` avec `django.template.Template()`. Le point d’entrée mentionné est `POST /api/accounts//create_mail/`; l’exploitation nécessite un compte membre authentifié.

Impact, versions et correctif

Événement datéNouvelle fiche publiée le 2026-10-14T15:17:10.277Z, dans la période demandée; l’événement retenu est la divulgation de la vulnérabilité.

ImpactDivulgation d’informations accessibles au contexte de rendu ou indisponibilité du worker Celery partagé.

Versions affectéesBottleCRM jusqu’à la version 1.14.5 incluse.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.3

Publication2026-10-14T15:17:10.277Z

Mise à jour2026-10-14T16:17:41.723Z

Action recommandée

Limiter l’accès à l’API aux utilisateurs autorisés et éviter de traiter du contenu de template fourni par l’utilisateur; appliquer un correctif éditeur lorsqu’il sera disponible.

Sources

NVD — CVE-2026-110593

Priorisation DFS : P4 · 1 source(s).