CVE-2026-55867 in Graylog
요약
\~에 의해 VulDB • 2026. 08. 29.
Graylog은 무료 및 오픈 소스 로그 관리 플랫폼입니다. 버전 6.2.0부터 6.3.12, 7.0.7 및 7.1.2까지 graylog2-server/src/main/java/org/graylog2/rest/resources/users/UsersResource.java에 구현된 UsersResource.revokeToken() 메서드의 DELETE /users/{userId}/tokens/{idOrToken} 엔드포인트는 idOrToken으로 선택된 토큰을 확인하기 전에 공격자가 제어할 수 있는 userId 경로 매개변수에 대해 USERS_TOKENREMOVE 권한을 검사합니다. 인증된 사용자는 authorized userId를 제공할 수 있으며, accessTokenService.loadById() 또는 accessTokenService.load()가 서비스 계정이나 관리자 등 다른 사용자(서비스 계정 포함)의 토큰을 확인한 후 accessTokenService.destroy()는 AccessToken.getUserName()을 확인하지 않고 해당 토큰을 삭제합니다. 이 문제는 토큰 내용을 노출시키지는 않지만, 무단 삭제로 인해 무결성 영향이 발생하며 액세스 토큰 기반 통합에 장애를 초래할 수 있습니다. 이 문제는 버전 6.3.12, 7.0.7 및 7.1.2에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.