Pocket ID 이메일 인증 토큰 재사용으로 인증 이메일 위조 가능

요약

Pocket ID에서 이메일 인증 토큰이 이메일 주소가 바뀐 뒤에도 유효해, 일반 사용자가 계정 이메일을 다른 미사용 주소로 바꾸고 인증됨으로 표시할 수 있습니다. 2.2.0부터 2.12.0 이전 버전이 해당합니다.

해당 조건

• emailsVerified=false 및 allowOwnAccountEdit=true 설정(기본값)
• 대상 주소가 다른 Pocket ID 사용자의 주소가 아님

대처법

2.12.0 이상으로 업데이트하세요.

대상 제품과 운영체제

• pocket-id

CVE 번호

• CVE-2026-115770 (새 탭에서 열림)

원문 링크

• 분석 글: github.com (새 탭에서 열림)
• CVE 기록: cve.org (새 탭에서 열림)

시각

처음 게시 2026-11-05 07:32

처음 확인 2026-11-10 01:20