CVE-2026-54676 in Scoold
요약
\~에 의해 VulDB • 2026. 09. 17.
Scoold는 팀을 위한 Q&A 및 지식 공유 플랫폼입니다. 버전 1.69.0 이전에서는 개인 API 토큰을 가진 사용자가 ApiController.getPostReplies()의 src/main/java/com/erudika/scoold/api/ApiController.java에서 GET /api/posts/{id}/answers를 통해 데이터를 반환하기 전에 canAccessSpace를 적용하지 않았기 때문에, 접근할 수 없는 비공개 공간의 질문 답변을 조회할 수 있었습니다. scoold.api_user_access_enabled 및 scoold.api_enabled이 true이고 토큰 보유자가 비공개 질문 식별자를 알고 있거나 열거하는 경우 이 문제가 발생합니다. 이러한 조건 하에서 질문 엔드포인트는 액세스를 거부하지만, 답변 엔드포인트는 비공개 응답 본문을 반환하여 기밀 팀 또는 프로젝트 토론을 노출시킵니다. 이 문제는 버전 1.69.0에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.