CVE-2026-89026 (Issabel Framework 하드코딩 JWT 키 RCE) 분석
오픈소스 PBX 소프트웨어 Issabel의 웹 프레임워크(Issabel Framework)가 REST API 인증에 쓰는 JWT 서명 키를 소스코드에 상수로 박아두고 전 설치가 동일하게 사용해온 결함입니다(CVSS 9.8). 이 글은 취약 버전의 실제 소스와 패치 커밋을 직접 열어, "검증 로직은 멀쩡한데 왜 뚫리는가"를 코드 레벨로 분석합니다.
← 전체 글
태그: hardcoded-key
CVE · CVE-2026-89026
CVE · CVE-2026-89026
CVE-2026-89026 (Issabel Framework Hard-Coded JWT Key RCE) Analysis
Issabel, an open-source PBX (private branch exchange) platform, ships a REST API whose JWT signing key was a literal string baked into the source code and shared by every installation (CVSS 9.8). This post opens the vulnerable source and the patch commit directly to explain why perfectly ordinary-looking signature verification code still failed.