smart-sso 권한 필터 결함으로 로그인한 사용자가 관리자 권한 획득 가능

요약

smart-sso 2.0.1 이하 버전의 PermissionFilter가 목록에 없는 경로를 기본으로 허용해, 로그인한 사용자 누구나 관리자 콘솔 API를 호출할 수 있습니다. 공격자는 스스로 관리자 역할을 주고 비밀번호를 재설정하며, 연동된 시스템의 사용자와 앱도 관리할 수 있습니다.

해당 조건

• 로그인 계정을 가진 사용자
• 관리 기능 경로가 권한 목록에 없는 상태

대처법

소스에 수정 버전이 명시되어 있지 않습니다. 2.0.1보다 새로운 버전을 쓰고 있는지 확인하고, 제작사 안내를 읽으세요.

대상 제품과 운영체제

• smart-sso

CVE 번호

• CVE-2026-121543 (새 탭에서 열림)

원문 링크

• 분석 글: github.com (새 탭에서 열림) · github.com (새 탭에서 열림) · github.com (새 탭에서 열림) · vulncheck.com (새 탭에서 열림)
• CVE 기록: cve.org (새 탭에서 열림)

시각

처음 게시 2026-11-04 00:17

처음 확인 2026-11-09 23:50