[CVE] CVE-2026-42560 (CVSS 9.1 · 심각) [CWE-287]

핵심 요약

CVE-2026-42560 (CVSS 9.1)은 특정 `auth` 라이브러리(버전 1.18.0~1.25.2 및 2.0.0~2.1.2)에서 Patreon OAuth 인증 시 모든 Patreon 계정을 단일 로컬 사용자 ID에 잘못 매핑하는 취약점입니다. 이 문제는 라이브러리가 Patreon에서 반환된 고유 ID를 사용하지 않고 모든 인증된 Patreon 사용자를 하나의 로컬 ID로 통합하여 발생하며, `token.User.ID`를 안정적인 계정 키로 신뢰하는 애플리케이션에서 교차 계정 접근, 권한 혼동, 구독 상태 유출을 야기할 수 있습니다. IT 감사인은 서드파티 인증 라이브러리 사용 현황을 파악하고, 사용자 식별 및 인증 로직의 견고성을 검토하여 잠재적인 권한 오용 및 데이터 유출 리스크를 식별해야 합니다.

💡 개선 권고안

• ✔기술적 조치`auth` 라이브러리를 취약점이 패치된 버전 1.25.2 또는 2.1.2 이상으로 즉시 업데이트할 것을 권고함.
• ✔기술적 조치서드파티 OAuth 공급자(예: Patreon)를 통해 인증된 사용자 계정을 로컬 시스템에 매핑할 때, 반드시 공급자로부터 반환되는 고유 식별자(Unique ID)를 사용하여 로컬 사용자 ID를 파생하고, 모든 사용자가 단일 ID로 통합되지 않도록 사용자 식별 로직을 강화할 것을 권고함.
• ✔관리적 조치모든 서드파티 라이브러리 및 오픈소스 컴포넌트에 대한 정기적인 보안 취약점 점검 프로세스를 수립하고, CVE-2026-42560과 같은 고위험 취약점이 발견될 경우 신속하게 패치를 적용하거나 우회 방안을 마련하는 절차를 수립 및 시행할 것을 권고함.
• ✔관리적 조치사용자 인증 및 권한 부여 로직에 대한 설계 검토 및 코드 리뷰를 강화하여, 교차 계정 접근, 권한 혼동, 데이터 유출과 같은 잠재적 보안 리스크를 사전에 식별하고 제거할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문