FICHE CVE

CVE-2026-110594

Publiée le 2026-10-14 · Dernière modification le 2026-10-16

🇫🇷 EN BREF

Les versions 0.43 à 1.14.5 de BottleCRM sont vulnérables à une attaque par déni de service en raison d'une expression régulière défectueuse dans les règles de routage. Un administrateur d'organisation authentifié peut provoquer le plantage des serveurs web (web workers) en enregistrant un modèle de routage spécifiquement conçu, bloquant ainsi l'accès à tous les utilisateurs de tous les tenants. Cette action nécessite des privilèges administratifs de haut niveau, mais peut être exécutée à distance via le réseau sans aucune autre interaction de l'utilisateur.

CVSS 4.06.9 MOYENNE

Type de faiblesse

Déni de service par expression régulière (ReDoS) · CWE-1333

Publiée2026-10-14

Dernière modification2026-10-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisÉlevés

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

BottleCRM 0.43 through 1.14.5 contains a regular expression denial of service vulnerability that allows authenticated organization administrators to block web workers via unbounded routing rule regex patterns. Attackers can create a routing rule with a catastrophically backtracking pattern evaluated by _match_condition() during case saves, exhausting workers shared across all tenants.