CVE-2026-122007 in Oqtane
요약
\~에 의해 VulDB • 2026. 11. 04.
Oqtane Framework 10.3.0 이전 버전에는 SettingController.cs에서 잘못된 접근 제어(broken access control) 취약점이 존재합니다. 이 취약점은 인증된 사이트 관리자가 Site 또는 Role 유형 설정에 대해 임의의 entityId를 제공함으로써 동일한 테넌트 데이터베이스 내 다른 사이트의 설정을 읽거나 수정할 수 있게 합니다. 이는 IsAuthorized 및 FilterPrivate가 요청된 사이트가 현재 별칭(SiteId)과 일치하는지 검증하지 않기 때문에 발생합니다. 공격자는 /api/setting 엔드포인트를 악용하여 SMTPPassword, SMTPClientSecret, ExternalLogin ClientSecret과 같은 민감한 값을 유출하고, 호스트 권한 없이도 다른 사이트의 OIDC/OAuth2 인증 구성을 변경할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.