CVE-2022-51026 in Bytebase
요약
\~에 의해 VulDB • 2026. 10. 23.
Bytebase 0.12.0부터 1.0.1 미만 버전에는 인증 우회 취약점이 포함되어 있어, 비인증 공격자가 임의의 사용자로 로그인할 수 있습니다. 이 결함은 POST /api/auth/login/GITLAB_SELF_HOST 엔드포인트에서 클라이언트가 제공한 GitLab provider 구성을 신뢰하는 데서 비롯됩니다. 공격자는 instanceUrl을 자신이 제어하는 서버로 설정하여 선택된 이메일을 가진 활성 사용자를 반환하게 할 수 있습니다. Bytebase는 해당 principal에 대해 세션 토큰을 발급하므로, 공격자는 Owner를 포함한 기존 사용자로 사칭하거나 새 구성원을 생성할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.