CVE-2026-73431 in Vulnerability-Lookup
요약
\~에 의해 VulDB • 2026. 08. 12.
Vulnerability-Lookup에는 계정 활성화 및 비밀번호 복구 메커니즘에서 인증 약점이 존재합니다. 활성화 및 복구 링크는 사용자의 로그인 정보만 포함된 상태 비저장 서명 토큰을 사용하여 생성되었습니다. 토큰의 서명과 유효 기간은 검증되었지만, 애플리케이션은 해당 토큰이 이미 성공적으로 사용되었는지 여부를 추적하지 않았습니다. 그 결과, 가로챈 활성화 또는 비밀번호 복구 링크는 관련 비밀번호가 변경된 후에도 구성된 TOKEN_VALIDITY_PERIOD 전체 동안 유효하게 유지되었습니다.
따라서 유효한 활성화 또는 복구 토큰을 획득한 공격자는 해당 기간 동안 이를 여러 번 재사용하여 새 비밀번호를 설정하고 영향을 받는 계정에 대한 통제권을 반복적으로 탈취할 수 있습니다. 또한, 토큰이 특정 용도에 바인딩되지 않아 동일한 토큰 메커니즘이 활성화 및 복구 워크플로우 전반에 걸쳐 사용될 수 있었습니다. 패치에서는 목적지향적 토큰과 사용자 계정과 함께 저장되는 SHA-256 다이제스트를 가진 무작위 nonce(난수)가 도입되었습니다. 성공적인 비밀번호 변경 후 nonce는 무효화되어 토큰이 단 한 번만 사용 가능하게(single-use) 되며, 새 토큰을 발급하면 이전에 발급된 모든 토큰은 무효화됩니다. 이제 비밀번호 설정 작업은 계정 변경 사항을 확정하기 전에 명시적으로 토큰을 소모(consume)합니다.
성공적인 악용에는 공격자가 현재 유효한 활성화 또는 복구 링크를 획득해야 하지만, 피해자의 기존 비밀번호나 인증된 세션에 대한 지식은 필요하지 않습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.