HotGo SMS 로그인 인증 코드를 공격자가 정해 계정 탈취 가능

요약

HotGo 관리 시스템에서 인증하지 않은 공격자가 SMS 로그인 인증 코드를 직접 정할 수 있습니다. 전화번호를 아는 사용자의 계정으로 로그인할 수 있으며 관리자 계정도 포함됩니다. 2.8.4부터 2.15.1까지 버전이 해당합니다.

해당 조건

• SMS 제공업체가 설정된 인스턴스
• 공격자가 관리자의 휴대폰 번호를 알고 있을 것

대처법

2.15.1보다 새 버전을 쓰고 있는지 확인하고, 제작사 공지를 읽어 보세요. 고친 버전 번호는 출처에 없습니다.

대상 제품과 운영체제

• HotGo

CVE 번호

• CVE-2026-120447 (새 탭에서 열림)

원문 링크

• 분석 글: vul.yulun.ac.cn (새 탭에서 열림) · github.com (새 탭에서 열림) · github.com (새 탭에서 열림) · vulncheck.com (새 탭에서 열림)

시각

처음 게시 2026-11-02 23:29

처음 확인 2026-11-09 23:10