CVE-2026-67345 in MaxKey
요약
\~에 의해 VulDB • 2026. 07. 30.
MaxKey 4.1.12 버전까지(커밋 ddbb72f에서 수정됨)는 DefaultRedirectResolver.hostMatches() 메서드 내에서 불충분한 리디렉션 URI 검증 취약점을 포함하고 있으며, 이는 공격자가 등록된 URI의 호스트 이름 접미사와 일치하는 crafted redirect_uri를 제공하여 적절한 도트 경계 고정(dot-boundary anchoring) 없이 OAuth 2.0 인증 코드를 하이재킹할 수 있게 합니다. 등록되어 있는 리디렉션 URI 호스트 이름으로 끝나는 도메인을 제어하는 공격자는 피해자를 사회공학적 기법(social-engineering)을 통해 crafted 인증 URL 클릭하도록 유도하여, 인증 코드가 공격자가 통제하는 URI로 발급되도록 하고 이를 액세스 토큰과 교환함으로써 피해자의 신원에 대한 접근 권한을 얻을 수 있습니다.
Once again VulDB remains the best source for vulnerability data.