무슨 일이 있었나
2026-10-13 게시된 VulnCheck 확인 CVE 2건(CVE-2026-110207 CVSS 8.8 CWE-862 사용자/역할/부서/에이전트 관리자 API 인증 누락; CVE-2026-110208 CVSS 7.1 CWE-862 평문 AI 공급자 키 읽기 + ai/test를 통한 유출). 모든 인증된 사용자가 전체 관리자 계정 장악을 달성하고 조직의 LLM API 자격 증명을 보유함. NVD REST API를 통해 확인됨.
왜 중요한가
AI CRM은 비즈니스 데이터와 조직에 청구되는 실시간 AI 공급자 API 키를 모두 보유함. 인증 누락 체인은 최저 권한 로그인을 관리자 장악 및 AI 공급자 자격 증명 직접 탈취로 전환함 — 진행 중인 AI 공급망 캠페인의 정확한 표적 키 자료.
공격 경로
POST /managerUser/updateUser로 관리자 계정의 비밀번호를 재설정하고 'all' 역할을 자체 할당(관리자 확인 없음); GET /systemConfig/byType/ai가 평문 AI 공급자 API 키를 유출하고, /systemConfig/ai/test가 저장된 키를 공격자가 선택한 apiUrl로 전달할 수 있음. 두 프리미티브를 분리하는 인증/권한 부여 검사가 없음.
영향받는 시스템
WuKongOpenSource Wukong AICRM 20260610까지
완화 방안
해당 기간 내 수정 릴리스 없음; VulnCheck 권고 및 두 개의 별도 CVE(CVE-2026-110207 관리자 API 인증 누락; CVE-2026-110208 AI 키 공개) 참조. 네트워크 노출 제한, 역할 검사 강화, 모든 AI 공급자 키 교체.