CVE-2026-18639 in Velociraptor
요약
\~에 의해 VulDB • 2026. 08. 11.
Velociraptor가 OIDC IdP를 인증에 사용하도록 구성된 경우 이메일 클레임을 사용자 이름으로 사용합니다. 그러나 일부 IdP는 확인 절차 없이 사용자가 이메일 클레임 변경을 허용합니다. 또한 일부 IdP는 "email_verified" 클레임을 설정하지 않으며 실제로 이메일을 검증하지 않습니다.
이를 통해 공격자는 IdP 내에서 자신의 이메일 주소를 다른 사용자의 것으로 설정하여 해당 사용자를 사칭할 수 있으며, 결과적으로 계정 탈취(account takeover)가 가능해집니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.