CVE-2026-50191 in 4gaBoards
요약
\~에 의해 VulDB • 2026. 08. 19.
4gaBoards는 실시간 프로젝트 관리를 위한 보드 시스템입니다. 버전 3.3.8 이전의 4gaBoards에서는 registrationEnabled, localRegistrationEnabled 및 ssoRegistrationEnabled가 활성화되고 Google, GitHub, Microsoft 또는 OIDC SSO가 구성된 경우 사전 계정 탈취(pre-account takeover) 취약점이 존재합니다. POST /api/register 엔드포인트는 피해자의 이메일 주소를 사용하여 검증되지 않은 로컬 계정을 생성할 수 있으며, POST /api/access-tokens은 isVerified가 false인 상태에서 해당 계정이 인증되도록 허용합니다. 피해자가 처음 SSO로 로그인하는 동안 server/api/helpers/users/get-create-one-for-github-sso.js, server/api/helpers/users/get-create-one-for-google-sso.js, server/api/helpers/users/get-create-one-for-microsoft-sso.js 및 server/api/helpers/users/get-create-one-for-oidc-sso.js는 이메일을 통해 공격자가 제어하는 계정을 찾아 로컬 계정 소유권을 확인하지 않고 검증된 SSO 신원과 연결합니다. 공격자는 링크된 계정에 대한 로컬 비밀번호 접근 권한을 유지하고 피해자의 프로젝트, 데이터 및 권한을 획득할 수 있습니다. 이 문제는 버전 3.3.8에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.