CVE-2026-59164 in Nora
요약
\~에 의해 VulDB • 2026. 10. 28.
NORA는 자체 호스팅되는 아티팩트 레지스트리 및 풀쓰루 캐시입니다. 버전 0.9.5 이전의 `nora-registry`는 토큰 관리 UI에 대해 인증은 수행하지만 관리자 권한(authorization)을 요구하지 않습니다. `auth_middleware()`는 `/ui/tokens`와 `/api/ui/tokens`를 보호하지만, 상태 변경 요청은 `role.can_admin()`이 아닌 `role.can_write()`로만 확인됩니다. `tokens_page()` 및 `tokens_list()` 함수는 `store.list_all_tokens()`을 호출하여 모든 사용자의 토큰 ID와 메타데이터를 노출합니다. 또한 `tokens_revoke()`는 소유권 또는 관리자 권한 확인 없이 제공된 토큰 ID를 사용하여 `store.revoke_token`을 호출합니다. 읽기 전용 Bearer 토큰은 다른 사용자의 토큰 존재 여부, 소유자, 역할, 설명, 만료일 및 마지막 사용 메타데이터를 열거할 수 있습니다. 쓰기 가능한 Bearer 토큰 또는 쓰기 권한이 있는 OIDC 신원은 임의의 관리자 및 서비스 토큰을 무효화하여 레지스트리를 중단시키고 자격 증명 복구를 강제합니다. 읽기 전용 신원은 revocation(무효화) POST 요청을 수행할 수 없습니다. 이 문제는 버전 0.9.5에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.