CVE-2026-81505 in Convoy
요약
\~에 의해 VulDB • 2026. 09. 18.
Convoy는 클라우드 네이티브 웹훅스 게이트웨이입니다. 버전 26.6.8 이전의 Convoy에서 GET /api/v1/projects/{projectID}/sources/{sourceID} 엔드포인트는 URL에 지정된 프로젝트에 대한 접근을 승인하지만, Handler.GetSource는 sources.Service.FindSourceByID()를 호출하여 sourceID만으로 Source를 조회하며 해당 Source의 ProjectID가 인증된 프로젝트와 일치하는지 확인하지 않습니다. 인증된 사용자 또는 프로젝트 범위 API 키 보유자는 다른 테넌트의 Source 식별자를 대체하여 그 Source의 전체 레코드(비마스킹 처리되지 않은 AMQP, Kafka, SQS 또는 Google PubSub 자격 증명 포함)를 받을 수 있습니다. 목록 엔드포인트는 여전히 프로젝트 범위로 유지되지만, 단일 항목인 Source 조회에는 영향을 미칩니다. 이 문제는 버전 26.6.8에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.