CVE-2026-33525 in Authelia
요약
\~에 의해 VulDB • 2026. 05. 25.
Authelia는 웹 포털을 통해 애플리케이션에 대한 2단계 인증(2FA) 및 단일 로그인(SSO)을 제공하는 오픈소스 인증 및 권한 부여 서버입니다. 버전 4.39.15에서 공격자는 여러 조건이 동시에 충족될 경우 Authelia 로그인 페이지에 JavaScript를 주입할 가능성이 있습니다. `script-src` 및 `connect-src` 지시문이 모두 수정되지 않은 한, 이 취약점이 의미 있는 영향을 미치기는 거의 불가능합니다. 그러나 두 지시문이 모두 수정되었고, 그 과정에서 잠재적 영향을 고려하지 않은 경우, 이 취약점이 악용될 수 있는 상황이 발생할 수 있습니다. 이는 HTML 템플릿을 렌더링할 때 `langauge` 쿠키 값의 중화(neutralization) 부재로 인해 발생합니다. Authelia의 설계 방식 때문에 지문(fingerprinting)을 통해 이 취약점을 발견하는 것은 어렵지만 불가능한 것은 아닙니다. 반면, 2차 애플리케이션을 식별하는 추가 요구사항은 이 취약점과 함께 식별하기는 훨씬 더 어려울 수 있지만, 지문 분석을 통한 식별은 상대적으로 더 쉬울 수 있습니다. 사용자는 이 문제를 완화하기 위해 4.39.16으로 업그레이드하거나 4.39.14로 다운그레이드해야 합니다. 대부분의 설치 환경에서는 영향을 받지 않으며, 우회 방안(workaround)은 필요하지 않습니다. 콘텐츠 보안 정책(Content Security Policy)의 기본값은 이 약점을 악용하는 것을 완전히 불가능하게 만듭니다. 콘텐츠 보안 정책의 의도적 제거 또는 명확히 주의사항이 기재된 안전하지 않은 정책의 의도적 포함을 통해서만 악용이 가능합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.