CVE-2026-80349 in TarsWeb
요약
\~에 의해 VulDB • 2026. 08. 26.
TarsWeb는 클라이언트가 제어하는 헤더를 사용하여 요청이 신뢰할 수 있는 로컬 호출자에서 오는지 여부를 결정합니다. app.js에서는 Koa의 proxy 옵션을 true로 설정하지만, 어떤 업스트림 프록시를 신뢰할 수 있는지 명시하지 않으며 전달된 홉(hops) 수를 제한하지 않습니다. 따라서 Koa가 보고하는 요청 주소는 호출자가 제공한 X-Forwarded-For 헤더에서 가져옵니다. 미들웨어/ssoMidware.js에서는 단일 분기가 무시되는 경로 목록과 config/loginConf.js에 있는 루프백 주소를 포함하는 ignoreIps 허용 목록을 모두 처리하며, 해당 분기는 티켓, 쿠키 또는 비밀번호를 검증하지 않고 uid 쿼리 파라미터에서 유효한 계정 ID를 할당한 후 요청으로 진행됩니다. 따라서 루프백 주소를 지칭하는 위조된 X-Forwarded-For 값과 기존 계정을 지정하는 uid를 포함하는 요청은 인증 자격 증명이 전혀 없이 콘솔이 마운트하는 모든 라우트에 해당 계정(관리자 포함)으로서 접근할 수 있습니다. 이러한 라우터에는 사용자 및 역할 관리, 서비스 구성, 패키지 업로드 및 배포가 포함됩니다. 버전 3.0.16에서는 두 분기를 분리하여 주소 허용 목록에 일치하는 경우 호출자가 지정한 계정이 아닌 구성된 기본 계정을 할당하도록 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.