CVE-2026-69082 in CTI-Transmute
요약
\~에 의해 VulDB • 2026. 08. 03.
CTI-Transmute에는 관리 사용자 삭제 기능에서 크로스 사이트 요청 위조(CSRF) 취약점이 존재했습니다. /account/delete/ 엔드포인트는 애플리케이션 상태를 수정하는 작업에 대해 HTTP GET 요청을 허용했습니다.
인증되지 않은 원격 공격자는 이 엔드포인트를 대상으로 하는 악성 링크를 구성하거나 요청을 임베딩하여, CTI-Transmute 관리자가 공격자가 제어하는 콘텐츠에 접속하도록 유도할 수 있습니다. 만약 관리자가 활성 세션을 보유하고 있다면 브라우저는 자동으로 해당 관리자 세션의 자격 증명을 포함하게 되어, 관리자의 의도적인 확인 없이 선택된 사용자 계정이 삭제됩니다.
성공적인 악용은 현재 인증되었으며 사용자 삭제를 권한으로 가진 관리자의 상호작용이 필요합니다. 공격자는 CTI-Transmute 계정이나 관리자가 아닌 privileges가 필요하지 않습니다. 왜냐하면 위조된 요청은 피해자 관리자의 세션을 사용하여 실행되기 때문입니다.
이 취약점은 임의의 사용자 계정을 삭제할 수 있게 하여, 애플리케이션 상태에 대한 무단 수정과 영향 받는 사용자의 접근 차단을 초래합니다. 관리자가 다른 관리자나 마지막 관리자 계정을 삭제할 수 있는지에 따라 악용은 CTI-Transmute 인스턴스의 관리를 방해할 수도 있습니다.
패치는 삭제 엔드포인트를 HTTP POST 요청으로 제한하고, CSRF 토큰이 포함된 폼을 통해 삭제를 제출함으로써 문제를 해결합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.