CVE-2025-60375 — PerfexCRM 인증 우회

Advisory ID: perfexcrm-auth-bypass-2025
CVE: CVE-2025-60375
제품: PerfexCRM
영향을 받는 버전: 3.3.1 이전 버전 (< 3.3.1)
보고자: Ajansha Shankar, Ahamed Yaseen
참고 자료: OWASP 인증 치트 시트 — https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html

---

요약

버전 3.3.1 이전의 PerfexCRM 관리자 로그인 메커니즘에 인증 우회 취약점이 존재합니다. 서버의 인증 워크플로우는 username/password 매개변수의 존재와 내용을 충분히 검증하지 않습니다. 공격자가 로그인 요청을 조작하여 빈 username 및 password 매개변수를 제공하면 관리자 계정을 포함한 사용자 계정에 대한 접근 권한을 얻을 수 있습니다.

---

영향

• 사용자 계정(관리자 포함)에 대한 무단 접근.
• 애플리케이션 전체 손상 및 민감한 데이터 노출 가능성.
• 원격 악용 — 공격자는 로그인 엔드포인트에 HTTP 요청을 보낼 수 있는 능력만 있으면 됩니다.

---

기술적 세부 사항 및 재현

1. 관리자 로그인 엔드포인트(예: /admin/auth/login)로 전송되는 POST 요청을 가로챕니다.
2. 요청 본문에서 username 및 password 필드를 제거하거나 빈 값으로 설정합니다.