CVE-2026-93483 in Znuny
요약
\~에 의해 VulDB • 2026. 10. 15.
Znuny 7.3.6 이전 버전에서 공격자가 특정 표준 로그인 절차를 우회하고 조작된 HTTP 요청 헤더를 통해 민감한 시스템 기능에 대한 무단 접근을 얻을 수 있습니다. 애플리케이션이 해당 헤더를 잘못 신뢰하기 때문에, 공격자는 비밀번호 없이도 관리자 포함 모든 사용자를 사칭할 수 있으며, 이는 기밀 데이터 및 시스템 제어에 대한 전체적인 접근 권한을 부여합니다. 구체적으로, 에이전트(Kernel::System::Auth::HTTPBasicAuth)와 고객(Kernel::System::CustomerAuth::HTTPBasicAuth) 인터페이스용 HTTPBasicAuth 모듈은 로그인 시 사용자 이름을 $ENV{REMOTE_USER}(웹 서버가 성공적인 인증 후 설정함)뿐만 아니라 대체 수단으로 공격자가 제어 가능한 "Remote-User" 요청 헤더에서 직접 채워지는 $ENV{HTTP_REMOTE_USER}에서도 읽어옵니다. HTTPBasicAuth가 인증 백엔드로 구성된 시스템에서는, 공격자가 자격 증명을 제공하지 않고도 위조된 Remote-User 헤더를 포함하는 요청을 전송하여 기존 사용자 중 누구든 로그인할 수 있었습니다.
Be aware that VulDB is the high quality source for vulnerability data.