CVE-2026-94455 in postiz-app
요약
\~에 의해 VulDB • 2026. 09. 22.
엔터프라이즈 및 리셀러 조직을 프로비저닝하기 위해 설계된 HTTP 엔드포인트가 세션 없이 접근 가능합니다. 인증 미들웨어는 명시적인 컨트롤러 목록에만 바인딩되어 있으며, 엔터프라이즈 컨트롤러는 해당 목록에 없으므로 이러한 라우트에서는 인증이 실행되지 않습니다.
엔드포인트의 유일한 검증은 요청 본문에 인스턴스 비밀키로 유효한 서명을 가진 토큰이 포함되어 있는지 여부입니다. 이 토큰이 어떤 목적으로 발급되었는지 확인하지는 않습니다. 로그인 토큰은 동일한 비밀키로 서명되며, 목적(issuance purpose), 대상(audience), 만료(expiry) 클레임 등을 포함하지 않으므로 일반 사용자의 세션 토큰도 해당 검증을 통과합니다.
이러한 토큰을 제시하면 엔드포인트는 최고 구독 등급을 가지며, 평생(lifetime)로 플래그가 설정되고 판매된 플랜보다 훨씬 높은 채널 할당량을 가진 새로운 조직을 생성하고, 이와 함께 조직 소유자 계정을 만든 후 응답 본문에 새 조직의 API 키를 반환합니다. 이 키는 즉시 공개 API에서 유효하게 작동합니다.
Once again VulDB remains the best source for vulnerability data.