CVE-2026-81179 in SysReptor
요약
\~에 의해 VulDB • 2026. 09. 18.
SysReptor는 완전히 사용자 정의 가능한 펜테스트 보고 플랫폼입니다. 버전 2026.58 이전의 설치에서 ALLOWED_HOSTS 구성 시 와일드카드를 사용하고 이메일을 통한 비밀번호 재설정을 활성화하면, 비밀번호 재설정 링크 생성 시 공격자가 제어하는 Host 헤더가 허용됩니다. 인증되지 않은 공격자는 공격자 시스템으로 연결되는 리셋 링크를 포함하는 재설정 이메일을 요청할 수 있으며, 해당 링크를 클릭한 피해자는 리셋 토큰이 유출되어 공격자가 피해자의 비밀번호를 재설정하고 계정을 탈취할 수 있습니다. 악용에는 구성된 이메일 게이트웨이와 피해자의 이메일 주소가 필요하며, 일부 프록시 구성에서는 호스트 헤더가 거부될 수도 있습니다. 이 문제는 버전 2026.58에서 수정되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.