CVE-2026-73405 in Vulnerability Lookup
요약
\~에 의해 VulDB • 2026. 08. 12.
Vulnerability-Lookup의 권한 우회 취약점으로 인해 비활성화되거나 확인되지 않은 계정이 /pubsub/subscribe/<topic> 엔드포인트를 통해 Server-Sent Events(SSE) 스트림에 구독할 수 있었습니다.
Pub/Sub 인터페이스에서 사용된 token_required 데코레이터는 X-API-KEY 헤더가 기존 사용자 API 키와 일치하는지 여부만으로 요청을 인증했습니다. REST API 인증 메커니즘과 달리, 이 데코레이터는 계정의 is_active 및 is_confirmed 상태를 확인하지 않았습니다.
자체 등록 프로세스에서 계정 확인이 완료되기 전에 API 키를 발급하므로, 공격자가 계정을 생성하고 즉시 해당 API 키를 사용하여 활성 상태이고 확인된 사용자만 접근할 수 있는 Pub/Sub 토픽에 액세스할 수 있었습니다. 이를 통해 REST API로는 일반적으로 접근할 수 없었던 스트림 이벤트(예: 새로 제출되었거나 아직 검토되지 않은 댓글과 같은 데이터)가 노출될 위험이 있었습니다.
이 취약점은 REST API와 SSE 스트리밍 인터페이스 간 권한 부여 정책의 불일치로 인해 발생했습니다.
패치는 Pub/Sub 스트림에 대한 접근을 허용하기 전에 계정이 활성 상태이고 확인되어야 함을 요구함으로써 문제를 수정했으며, 이를 통해 SSE 권한 경계가 REST API와 일치하도록 조정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.