CVE-2026-79957 in ServiceNext
요약
\~에 의해 VulDB • 2026. 10. 14.
ServiceNext에는 /api/Usuario/GetUsuarios 엔드포인트에서 보안상 취약한 직접 객체 참조(IDOR)가 존재합니다. 이 엔드포인트는 요청 본문에 포함된 사용자 제어형 숫자 ID를 검증 없이 받아들이며, 인증된 토큰이 요청된 계정과 일치하는지 확인하지 않습니다(CWE-639). 모든 인증된 사용자는 ID 매개변수를 반복하여 다른 모든 사용자의 전체 프로필 레코드를 조회할 수 있으며, 여기에는 평문으로 저장된 비밀번호도 포함됩니다(CWE-256). 이로 인해 계정 탈취 및 자격 증명 스푸핑 공격이 가능해집니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.