CVE-2026-50167 in Kurrier
요약
\~에 의해 VulDB • 2026. 08. 19.
Kurrier는 이메일, 캘린더, 연락처 및 저장소를 위한 현대적인 자체 호스팅 워크스페이스입니다. 버전 1.2.4 이전에는 Kurrier API 엔드포인트에서 웹훅 및 ID 리소스를 나열하고 검색할 때 인증된 API 요청에 대한 소유권 검증을 적용하지 않았습니다. 유효한 API 키를 가진 공격자는 다른 계정의 식별자를 사용하여 apps/worker/server/routes/api/kurrier/webhooks/[id].get.ts, apps/worker/server/routes/api/kurrier/webhooks/index.get.ts, apps/worker/server/routes/api/kurrier/identities/[id].get.ts 및 apps/worker/server/routes/api/kurrier/identities/index.get.ts를 통해 해당 계정의 웹훅 및 ID 리소스를 읽고 열거할 수 있습니다. 익명 요청과 유효하지 않은 API 키는 거부되었으며, 사용자 간 수정 작업은 차단되었지만, 영향을 받는 GET 및 목록 조회 작업을 통해 다른 사용자의 리소스 메타데이터가 노출될 수 있습니다. 이 문제는 버전 1.2.4에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.