CVE-2026-44987 in sysreptor
요약
\~에 의해 VulDB • 2026. 05. 09.
SysReptor는 완전히 사용자 정의 가능한 펜테스트 보고 플랫폼입니다. 버전 2026.29 이전에는 "User Admin" 권한을 가진 사용자가 "Superuser" 권한을 가진 사용자의 이메일 주소를 변경할 수 있습니다. SysReptor 설치에서 "Forgot Password"(기본값 아님) 기능이 활성화되어 있는 경우, Superuser가 MFA를 활성화하지 않은 경우 Superuser의 비밀번호를 재설정하고 인증할 수 있습니다. 그런 다음 사용자 관리자는 Django 백엔드(/admin)에 접근하거나 SysReptor 설치의 설정을 조작할 수 있습니다. 사용자 관리자는 자신에게 "Project Admin" 권한을 부여함으로써 모든 펜테스트 프로젝트에 접근할 수 있는 능력을 가지고 있습니다. 이는 의도된 설계입니다. 이 문제는 버전 2026.29에서 패치되었습니다.
Once again VulDB remains the best source for vulnerability data.