WSO2 API Manager 등 4개 제품의 REST API 인증에서, 지원되지 않는 서명 알고리즘의 JWT가 만드는 예외를 인터셉터가 그냥 삼켜버려 인증 자체가 우회되는 취약점입니다(CVSS 3.1 = 10.0/9.8). 이 글은 원 어드바이저리를 재구성하고, 취약 버전의 실제 소스와 패치 diff를 직접 열어 "검증 로직은 멀쩡한데 왜 뚫리는가"를 코드 레벨로 분석합니다.
REST API authentication in WSO2 API Manager and three sibling products silently swallows the exception raised by an unsupported JWT signing algorithm, letting the request through unauthenticated (CVSS 3.1 = 10.0 / 9.8). This piece reconstructs the vendor advisory and reads the vulnerable source and the patch diff directly to explain, at the code level, why a signature check that clearly rejects the token still fails to stop the request.
출력·인쇄 관리 소프트웨어 PaperCut NG/MF에서, 관리 기능을 겨냥한 무인증 원격 요청이 접근 검증이 완료되기 전에 백엔드 동작을 트리거해 공격자가 특정 시스템 설정을 변경할 수 있습니다(NVD 확정 분류 CWE-305 Authentication Bypass — 검사가 아예 없는 게 아니라 순서·경로가 우회되는 형태). NVD 확정 등급은 CVSS 4.0 Base 8.8(HIGH)이며, 안전 버전은 각 트랙에서 24.1.9 / 25.0.12 / 26.0.4 이상, MF·NG 둘 다 영향받습니다. 같은 날 공개된 형제 CVE-2026-82078은 CISA KEV에 등재됐습니다.
EFM Networks의 ipTIME T24000M 유선 공유기의 웹 관리 인터페이스에서, 세션의 정당성을 판정하는 검증 핸들러 함수 `httpcon_check_session_url`이 요청을 제대로 판정하지 못해 원격 공격자가 정상 인증 없이 보호된 관리 기능에 도달할 수 있습니다(부적절한 인증, CWE-287 계열). 개별 페이지 하나의 버그가 아니라 세션 검증이라는 '문지기 코드' 자체가 우회되는 유형이라, 관리 인터페이스 전반의 접근 통제가 흔들립니다. 영향 버전은 14.20.0까지로 보고됐습니다(NVD 요약 기준).
워드프레스 소셜 로그인 플러그인 3종(WP Social Media Login·SoClever·SmilePass Selfie Login, CVE-2026-77000/77001/77002)이 같은 날 나란히 무인증 인증 우회로 공개됐습니다. 셋 다 IdP가 실제로 로그인을 완료했는지 서버가 재검증하지 않아, 이메일 주소만으로(또는 아무 정보 없이) 관리자를 포함한 임의 계정 세션을 얻을 수 있습니다(CVSS 3.1 9.8 CRITICAL, CWE-287 — WPScan/NVD 확인). 셋 모두 이 글 작성 시점 무패치입니다.
Microsoft SharePoint Server에서 인증 우회 결함(CVE-2023-29357)과 원격 코드 실행 결함(CVE-2023-24955)을 이어 붙이면, 로그인 계정 없이도 서버에 임의 명령을 실행할 수 있는 사전인증(pre-auth) RCE 체인이 완성됩니다. 이 글이 다루는 원문은 이 체인을 실제로 재현한 뒤 메모리 덤프를 WinDbg로 뜯어보며 공격이 서버 내부에서 어떻게 흘러가는지 포렌식으로 되짚은 디버깅 사례 연구입니다.
데이터 분석·BI 플랫폼 Metabase에서 로그인조차 필요 없는 SQL 인젝션이 발견됐습니다. 비밀번호 재설정이라는, 원래 인증 안 된 사용자도 쓸 수 있어야 하는 기능 하나가 관리자 계정 탈취로 이어졌습니다. CVSS 10.0(치명적) — 만점입니다. 공개 약 5일 후 미국 CISA의 실제 악용 확인 목록(KEV)에 올랐습니다.
보안 연구자 cybxis는 GitLab의 로그인 이메일 인증(Login Email Verification) 기능이 웹 로그인 경로에서는 정상 작동하지만, OAuth의 ROPC(Resource Owner Password Credentials) 흐름으로 우회하면 완전히 빠진다는 것을 HackerOne 제보로 확인했습니다. 결과적으로 GitLab은 이를 버그로는 인정하되 정식 취약점으로는 인정하지 않았습니다 — 판단이 갈린 지점 자체가 흥미로운 사례입니다.
보안 업체 Praetorian의 연구팀이 F5 BIG-IP의 관리 인터페이스(TMUI)를 대상으로 능동적인 취약점 리서치를 진행하던 중, 프런트엔드 Apache와 백엔드 Tomcat이 같은 요청을 서로 다르게 해석하는 틈을 찾아냈습니다. 이 틈을 이용하면 로그인 절차 없이도 임의의 관리자 계정을 만들 수 있었고, 이 결함은 CVE-2023-46747로 등록됐습니다. 두 프로세스 사이의 인증 책임 분담이 얼마나 쉽게 무너지는지 보여주는 사례입니다.
워드프레스·우커머스용 OTP 로그인 플러그인 'Automation Web Platform'의 handle_email_otp_return() 함수가 로그인에 쓰이는 비밀 매직 로그인 토큰을 응답에 그대로 반환합니다. 대상 이메일 주소만 알면 무인증 공격자가 관리자를 포함한 임의 계정으로 로그인할 수 있고, 4.8.6 이하 전 버전이 무패치 상태입니다(CVSS 3.1 9.8 CRITICAL, CWE-640 — NVD 확인).
SonicWall이 공개한 CVE-2023-51467은 오픈소스 전사적자원관리(ERP) 솔루션 Apache OFBiz의 인증 우회 취약점으로, 인증 없이 원격 코드 실행(RCE)까지 이어질 수 있습니다. 흥미로운 점은 이 취약점이 새로운 버그가 아니라, 앞선 두 차례의 패치가 근본원인은 남겨둔 채 증상만 막았기 때문에 다른 자리에서 다시 열린 같은 구멍이라는 것입니다.