CVE-2026-91998 in Casdoor
요약
\~에 의해 VulDB • 2026. 09. 15.
Casdoor 4.4.0 버전 이하에는 /api/mcp 엔드포인트에서 권한 우회 취약점이 존재하며, 공격자는 모든 애플리케이션의 clientId와 clientSecret을 사용하여 전체 조직에 걸쳐 사용자 관리에 대한 제한 없는 접근 권한을 얻을 수 있습니다. 공격자는 단일 애플리케이션의 유효한 자격 증명을 제공함으로써 비밀번호 솔트 및 이메일 주소를 포함한 사용자 레코드를 열거하고, 관리자 계정을 생성하며, 기존 사용자를 수정하거나 모든 조직에서 삭제할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.