CVE-2026-77426 in Unleash
요약
\~에 의해 VulDB • 2026. 09. 22.
Unleash는 오픈소스 기능 관리 플랫폼입니다. 버전 8.0.3 이전의 Unleash admin API에는 다섯 가지 권한 부여 취약점이 존재합니다. POST /api/admin/segments/strategies에서는 hasPermission이 반환하는 Promise를 await 없이 할당하므로, 인증된 사용자가 대상 프로젝트 및 환경에 대한 UPDATE_FEATURE_STRATEGY 권한 없이 세그먼트 할당을 수정할 수 있습니다. GET /api/admin/projects/:projectId/features/:featureName/environments/:environment/variants는 요청된 기능을 projectId에 바인딩하지 않으므로 크로스-프로젝트 변형 구성 정보가 유출될 수 있습니다. GET .../strategies/:strategyId은 프로젝트 및 기능 컨텍스트를 검증하지 않고 strategyId를 사용하므로 크로스-프로젝트 전략 구성 정보가 유출될 수 있습니다. getEnvironmentInfo는 요청된 기능이 제공된 프로젝트에 속하는지 검증하지 않으므로 크로스-프로젝트 환경 정보 유출이 가능합니다. PUT /:projectId/tags은 URL의 프로젝트와 일치하는지 확인 없이 기능 식별자를 받아들이므로 크로스-프로젝트 태그 수정이 가능해집니다. 이 문제는 버전 8.0.3에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.