Authorizer 비밀번호 재설정 링크 주소 조작 취약점

요약

인증 서버 프로그램 Authorizer에서 공격자가 재설정·매직 링크 메일의 주소를 자기 서버로 바꿀 수 있어 계정을 빼앗길 수 있습니다. 2.3.0-rc.3부터 2.4.1까지 버전이 해당하며, 메일 발송을 설정한 서버가 대상입니다.

해당 조건

• SMTP 메일 발송 설정
• gRPC 포트에 외부에서 접근 가능하거나 REST 게이트웨이 사용
• 매직 링크 로그인은 --enable-magic-link-login과 --enable-email-verification 켜기

대처법

2.4.2 이상으로 업데이트하세요. 자세한 내용은 공식 권고문을 확인하세요.

대상 제품과 운영체제

• Windows
• macOS
• Linux
• authorizerdev authorizer

CVE 번호

• CVE-2026-123196 (새 탭에서 열림)

원문 링크

• 보안 공지: github.com (새 탭에서 열림) · github.com (새 탭에서 열림)
• 분석 글: github.com (새 탭에서 열림) · github.com (새 탭에서 열림) · vulncheck.com (새 탭에서 열림)
• CVE 기록: cve.org (새 탭에서 열림)

시각

처음 게시 2026-11-06 03:16

처음 확인 2026-11-10 02:00