CVE-2026-112001 in ProjectSend
요약
\~에 의해 VulDB • 2026. 10. 18.
ProjectSend 2.0.0부터 2.7.0 미만 버전에는 잘못된 권한 부여(incorrect authorization) 취약점이 포함되어 있으며, 이를 통해 제한된 API 토큰 보유자가 PATCH /api/v1/users/{user}를 사용하여 토큰 소유자의 자격 증명을 변경할 수 있습니다. manage_users 및 edit_users 역할로만 제한된 토큰을 가진 공격자는 새로운 소유자 비밀번호를 설정하고, 2단계 인증(Two-Factor Authentication) 정보를 지우며, 소유자의 전체 역할 권한으로 대면적으로 로그인할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.