JVNDB-2026-012116

EspoCRMにおけるユーザ制御の鍵による認証回避に関する脆弱性

EspoCRMはオープンソースの顧客関係管理アプリケーションです。バージョン9.3.3以下のPOST /api/v1/Email/importEmlエンドポイントには、不適切な直接オブジェクト参照（IDOR）脆弱性が存在します。この脆弱性により、攻撃者は提供されたfileIdパラメータを使って、現在のユーザーがアクセス権を持っているかどうかを検証せずにリポジトリから任意の添付ファイルを直接取得できます。Email:createおよびImport権限を持つ認証された任意のユーザーは、この脆弱性を利用して他のユーザーの.eml添付ファイルの内容を攻撃者のメールボックスに新しいメールとしてインポートし、読み取ることが可能です。また、インポート処理の副作用として元の被害者の添付ファイルレコードが削除されます。この問題は、ファイルデータを返す前にアクセス制御リスト（ACL）チェックを強制する標準の添付ファイルダウンロード経路とは一貫していません。添付ファイルIDは通常、UIやAPIワークフロー（ストリームペイロードやダウンロードリンクなど）で一般的に公開されているため、実質的に悪用可能な状態です。この問題はバージョン9.3.4で修正されています。

EspoCRM

• EspoCRM 9.3.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Email importEml can import and delete another user's attachment by raw fileId  Advisory  espocrm/espocrm  GitHub

1. ユーザ制御の鍵による認証回避(CWE-639) [その他]

1. CVE-2026-33740

1. National Vulnerability Database (NVD) : CVE-2026-33740
2. 関連文書 : Release 9.3.4  espocrm/espocrm  GitHub
3. 関連文書 : fix impot eml attachment  espocrm/espocrm@88e3ba6  GitHub

• [2026年04月23日]
    掲載