CVE-2026-117472 in Psono
요약
\~에 의해 VulDB • 2026. 10. 27.
Psono Server CE 및 EE 버전 4.0.33부터 7.2.3까지에서, bulk-secret-read 엔드포인트에 대한 요청 경로를 접두사가 없는 고정 경로와 비교하는 과정에서 취약점이 발견되었습니다. URL_PREFIX가 구성된 배포 환경에서는 이 비교가 실패하여 POST 요청이 읽기(read) 범위가 아닌 쓰기(write) 범위로 인증되었습니다. 따라서 읽기 권한은 비활성화되고 쓰기 권한만 활성화된 API 키를 가진 인증된 원격 공격자는 읽기 권한이 없음에도 불구하고 접두사가 있는 bulk-secret-read 엔드포인트를 통해 암호화된 비밀 데이터와 nonce(난수)를 획득할 수 있습니다. URL_PREFIX가 없는 기본 구성에서는 이 취약점의 영향을 받지 않았습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.