CVE-2026-110100 in Jorani
요약
\~에 의해 VulDB • 2026. 10. 13.
Jorani 1.0.4 이전 버전에는 Contracts::import() 함수에서 권한 부여 누락 취약점이 존재하며, 이를 통해 인증된 모든 사용자가 임의의 URL로부터 휴무일을 어떤 계약서에도 가져올 수 있습니다. 공격자는 POST를 통해 계약 ID와 URL을 제출하여 비업무일 캘린더를 덮어쓰고, get_headers() 및 fopen() 함수를 악용하여 내부 호스트에 대한 서버 측 요청 위조(SSRF)를 수행할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.