Augmentt: 매개변수 변조를 통한 권한 상승

크레딧

이 CVE는 다음의 공동 작업으로 수행되었습니다:
HelloWorld (작성자) – GitHub: https://github.com/Penquinsecq
Raznov – GitHub: https://github.com/basraznov

설명

웹 애플리케이션의 취약점으로 인해 일반 사용자가 매개변수 조작을 통해 권한을 슈퍼 관리자 수준으로 상승시킬 수 있으며, 이를 통해 민감한 정보에 접근하고 수정할 수 있습니다.

[!CAUTION]본 연구는 교육 및 방어 목적으로 게시되었습니다. 해당 취약점은 게시 전에 책임 있는 방식으로 공개되고 조정되었습니다.

제품: Augmentt 웹 애플리케이션
버전: 버전은 알 수 없으나 2025년 10월 이전 출시
날짜: 2025년 10월 2일
소프트웨어 링크: https://app.augmentt.com/
CVE ID: CVE-2026-6356
카테고리: 웹 애플리케이션\

재현 단계

일반 사용자로 로그인합니다
"Management" 아래의 "Support" 메뉴로 이동합니다
프록시 도구를 사용하여 HTTP 응답을 가로챕니다
권한 매개변수를 수정합니다
응답을 전달합니다

개념 증명

PDF 파일에서 확인하시기 바랍니다.

영향

관리자 기능에 대한 무단 접근
관리자 정보 노출 및
데이터 수정

타임라인

날짜	이벤트
2025년 10월 2일	최초 보고서를 공급업체에 전송
2026년 4월 16일	CVE 할당
2026년 5월 22일 이전	게시

공급업체 응답

작성 시점 기준, 공급업체는 여러 차례의 제보 시도에 응답하지 않았습니다.

완화 방안

권장 수정 사항: 서버는 인증된 사용자의 역할/권한을 안전한 백엔드 데이터베이스에서 조회하고, 검증된 서버 측 데이터에만 기반하여 접근 규칙을 적용해야 합니다. 공격자가 승인되지 않은 메뉴 항목을 표시하도록 만드는 데 성공하더라도, 해당 메뉴 항목이 링크하는 API 엔드포인트는 데이터를 처리하기 전에 자체적인 필수 접근 검사를 수행해야 합니다.

참고 자료

KB CERT: [게시된 경우]

관리자:

HelloWorld (https://github.com/Penguinsecq)
Raznov (https://github.com/basraznov)

CVE-2026-6356

인기