Xerj Console API에 인증 우회 취약점이 존재합니다. 이 결함으로 인해 기존의 유효한 토큰이 독립적인 후속 자격 증명을 생성할 수 있습니다. 이는 토큰 발급 시 필수적인 패스키 요구 사항을 우회합니다. Xerj 시스템은 다양한 세션 유형을 일반 인증 객체로 변환합니다. 토큰 생성 핸들러는 세션이 패스키 기반이었는지 확인하지 않습니다. 공격자는 유효한 API 토큰을 획득하여 이를 악용할 수 있습니다. 그런 다음 토큰 생성 엔드포인트를 직접 호출할 수 있습니다. 이를 통해 동일한 액세스 수준을 가진 새 자격 증명을 생성할 수 있습니다. Xerj는 계층적 취소 기능이 부족하여 부모 토큰 취소가 자식 토큰에 영향을 미치지 않습니다. 이는 공격자에게 다단계 인증 제어를 우회하는 지속적이고 무단 액세스를 부여합니다. 계정 소유자의 토큰이 손상되면 후속 토큰은 관리자 권한을 유지합니다. 공격자는 이를 사용하여 영구적인 인스턴스 제어를 위한 독립적인 패스키를 생성하고 제어할 수 있습니다. 공급업체에 연락할 수 없어 공식 패치가 제공되지 않습니다. 사용자는 GitHub 리포지토리를 모니터링하여 업데이트를 확인하고 패치가 출시되면 설치해야 합니다.