CVE-2026-41571 in note-mark
요약
\~에 의해 VulDB • 2026. 05. 15.
Note Mark는 오픈소스 메모장 애플리케이션입니다. 버전 0.19.2에서 backend/db/models.go의 IsPasswordMatch 함수는 사용자가 저장된 비밀번호를 가지고 있지 않을 때 하드코딩된 bcrypt("null") 플레이스홀더로 폴백됩니다. OIDC에 등록된 사용자는 빈 비밀번호로 생성되므로, 내부 로그인 엔드포인트에 비밀번호: "null"을 제출하는 누구나 해당 사용자의 유효한 세션을 받을 수 있습니다. 이 우회 방법은 인증이 필요 없으며 사용자 상호작용도 필요하지 않습니다. 이 문제는 버전 0.19.3에서 패치되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.