CVE-2026-65709 in sysPass
요약
\~에 의해 VulDB • 2026. 07. 26.
sysPass 버전 3.2.11에는 JSON-RPC API에서 누락된 객체 수준 권한 부여(missing object-level authorization) 취약점이 포함되어 있습니다. 이 취약점으로 인해 API 토큰 보유자는 계정별 접근 제어 없이 전체 보트(vault)에 걸쳐 계정 메타데이터를 열거하고, 비밀번호를 덮어쓰며, 계정을 삭제할 수 있습니다. 공격자는 할당된 토큰 권한 범위를 넘어 계정을 수정하거나 삭제하기 위해 AccountFilterUser 검사를 거치지 않고 AccountController의 viewAction, editAction, deleteAction 및 editPassAction 메서드를 호출할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.