emailflare API 키 경로 권한 확인 누락

요약

emailflare의 /api/keys 경로에 권한 확인이 빠져 있어, 로그인한 회원 누구나 API 키를 보고 만들고 폐기할 수 있습니다. 공격자는 만든 키로 어떤 주소 이름으로든 메일을 보낼 수 있습니다.

해당 조건

• inbox 서비스에 로그인할 수 있는 멤버 계정

대처법

cf31f33 커밋 이후 버전으로 업데이트하세요. 출처에 고친 버전 번호는 없습니다.

대상 제품과 운영체제

• emailflare

CVE 번호

• CVE-2026-121729 (새 탭에서 열림)

원문 링크

• 분석 글: github.com (새 탭에서 열림) · vulncheck.com (새 탭에서 열림)
• CVE 기록: cve.org (새 탭에서 열림)

시각

처음 게시 2026-11-04 07:55

처음 확인 2026-11-10 00:20