CVE-2026-76876 in Craftplan
요약
\~에 의해 VulDB • 2026. 08. 21.
Craftplan 0.5.1 이전 버전에는 broken access control 취약점이 포함되어 있습니다. 이 취약점은 Settings 리소스에서 무조건적인 인증 정책(unconditional authorization policy)을 악용하여 비인증 공격자가 민감한 자격 증명을 읽을 수 있게 합니다. 공격자는 항상 허용(always-allow)되는 인증 확인을 사용하여 모든 신원 검증을 우회하는 읽기 정책을 통해 유효한 레코드 ID를 포함하는 GET 요청을 settings API 엔드포인트로 전송함으로써 복호화된 SMTP 비밀번호, 이메일 API 키 및 이메일 API 시크릿을 검색할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.