CVE-2026-51119 - Invixium IXM WEB v2.3.85.25에서의 권한 상승

개요

Invixium IXM WEB v2.3.85.25에서 POST /SystemUsers/CreateAppUser 엔드포인트에 대한 권한 검사 누락으로 인해 권한 상승 취약점이 존재합니다.

인증된 낮은 권한의 사용자가 이 엔드포인트를 악용하여 새로운 관리자 계정을 생성할 수 있으며, 이로 인해 완전한 관리자 접근 권한을 획득할 수 있습니다.

• CVE: CVE-2026-51119
• 공급업체: Invixium
• 제품: IXM WEB
• 영향 받는 버전: 2.3.85.25
• 심각도: 높음 (권한 상승)

취약점 설명

애플리케이션은 적절한 서버 측 권한 검사 없이 다음 엔드포인트를 노출합니다.

POST /SystemUsers/CreateAppUser

일반 인증된 사용자가 이 엔드포인트를 직접 호출하여 관리자 계정을 생성할 수 있으며, 이 기능은 일반적으로 권한이 있는 사용자만 사용할 수 있어야 합니다.

관리자 계정을 생성한 후 공격자는 새로 생성된 자격 증명을 사용하여 인증하고 완전한 관리자 권한을 얻을 수 있습니다.

영향

성공적인 악용 시 인증된 공격자는 다음을 수행할 수 있습니다.

• 관리자 계정 생성
• 권한 상승
• 애플리케이션에 대한 완전한 관리자 접근 권한 획득
• 사용자 및 관리 기능 관리

공격 요구 사항

• 유효한 인증된 사용자 계정
• 대상 애플리케이션에 대한 네트워크 접근

근본 원인

부적절한 권한 부여 (서버 측 권한 검증 누락)

서버가 인증된 사용자가 관리자 권한을 보유하고 있는지 확인하지 않고 권한 있는 기능에 대한 요청을 수락합니다.

영향을 받는 엔드포인트

POST /SystemUsers/CreateAppUser

타임라인

발견자

Asim이 발견하고 책임감 있게 공개하였습니다.

참고 자료

• CVE-2026-51119