ape-volo-admin 하드코딩된 JWT 키로 인증 우회

요약

ape-volo-admin 3.6.1 이전 버전은 설정 파일에 고정된 JWT 서명 키 때문에 인증하지 않은 공격자가 관리자 토큰을 위조할 수 있습니다. 위조된 토큰으로 사용자, 권한, 데이터를 모두 다룰 수 있습니다.

해당 조건

• appsettings.json에 있는 하드코딩된 JWT 서명 키를 그대로 사용하는 경우

대처법

3.6.1 이상으로 업데이트하세요.

대상 제품과 운영체제

• ape-volo-admin

CVE 번호

• CVE-2026-120442 (새 탭에서 열림)

원문 링크

• 보안 공지: github.com (새 탭에서 열림)
• 분석 글: github.com (새 탭에서 열림) · github.com (새 탭에서 열림) · github.com (새 탭에서 열림) · hackmd.io (새 탭에서 열림) · vulncheck.com (새 탭에서 열림)
• CVE 기록: cve.org (새 탭에서 열림)

시각

처음 게시 2026-11-02 23:29

처음 확인 2026-11-09 23:10