CVE-2026-62317 in Logto
요약
\~에 의해 VulDB • 2026. 08. 23.
Logto는 SaaS 및 AI 애플리케이션을 위한 현대적이고 오픈소스인 인증 인프라입니다. 버전 1.41.0 이전의 Logto에서 packages/core/src/libraries/sign-in-experience/email-blocklist-policy.ts 패키지의 이메일 서브어드레싱 차단 목록(blocklist)은 blockSubaddressing가 활성화된 경우, 이메일 입력값에서 공격자가 제어할 수 있는 도메인을 사용하여 subaddressingRegex를 구성했습니다. 관대한 emailRegEx는 여러 개의 '@' 기호와 정규식 메타문자를 허용했으므로, POST /api/experience/verification/verification-code 요청을 통해 subaddressingRegex.test(email) 호출 시 치명적인 백트래킹(catastrophic backtracking)이 발생할 수 있습니다. 이로 인해 이벤트 루프가 중단되어 인증, 토큰 발급, SSO 및 관리 콘솔의 사용 불가 상태가 초래될 수 있습니다. 이 문제는 버전 1.41.0에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.