CVE-2026-7671 - Tornet Scooter OTP ブルートフォース攻撃

概要

Tornet Scooter モバイルアプリ 4.75（Android版）における過剰な認証試行の不適切な制限（CWE-307）。

詳細

/TwoFactor エンドポイントにはレート制限やロックアウトが実装されていません。 4桁のOTP（0000〜9999）がリモートからブルートフォース攻撃される可能性があります。

タイムライン

• 2025-10-24: ベンダーに通知
• 2026-04-08: 公開開示（ベンダーからの応答なし）
• 2026-05-02: CVE-2026-7671 が割り当てられました

参考情報

• https://vuldb.com/?id.360819
• https://www.cve.org/CVERecord?id=CVE-2026-7671