CVE-2026-40350 in movary
요약
\~에 의해 VulDB • 2026. 06. 10.
Movary는 사용자가 시청한 영화를 추적하고 평점을 매길 수 있는 자체 호스팅 웹 애플리케이션입니다. 버전 0.71.1 이전에서는 일반 인증된 사용자가 사용자 관리 엔드포인트 `/settings/users`에 접근하여 모든 사용자를 열거하고 새 관리자 계정을 생성할 수 있었습니다. 이는 라우트 정의에서 관리자 전용 미들웨어를 강제하지 않고, 컨트롤러 수준의 권한 확인이 결함이 있는 부울 조건을 사용하기 때문입니다. 그 결과, 유효한 웹 세션 쿠키를 가진 모든 사용자가 관리자만 접근할 수 있는 기능에 도달할 수 있습니다. 버전 0.71.1에서 해당 문제가 패치되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.