CVE-2026-29909: MRCMS V3.1.2 - 인증되지 않은 디렉터리 열거

CVE ID

CVE-2026-29909

설명

MRCMS V3.1.2에는 파일 관리 모듈에 인증되지 않은 디렉터리 열거 취약점이 존재합니다. /admin/file/list.do 엔드포인트는 인증 제어 및 적절한 입력 검증이 부족하여, 원격 공격자가 자격 증명 없이 서버의 디렉터리 내용을 열거할 수 있습니다.

개념 증명(PoC)

GET /admin/file/list.do?path=../../../src/main/resources/ HTTP/1.1
Host: target-server

영향

• 서버 디렉터리 구조에 대한 무단 접근
• 민감한 구성 파일 노출
• 추가 공격으로 이어질 수 있는 정보 공개

크레딧

발견자: zyh