セキュリティ脆弱性の公開 — CVE-2026-78829 / 78830 / 78831 / 78832

MITRE CVE Program によって CVE ID が割り当てられた4件の脆弱性について、公開技術情報および概念実証（PoC）の再現手順を提供します（CVE リクエスト登録日: 2026-06-20）。

公開された脆弱性

CVE ID	製品	脆弱性	CWE	CVSS 3.1	認証要否
CVE-2026-78829	Dromara MaxKey 4.x	OAuth フローにおける `redirect_uri` 経由の反射型 XSS → 管理者セッション/JWT の窃取	CWE-79	8.2 High	不要（細工されたリンク）
CVE-2026-78830	mingSoft MCMS 6.1.1	未認証の `/file/upload` 経由の格納型 XSS	CWE-79	6.1 Medium	不要
CVE-2026-78831	OpenAuth.Net ≤ 8.3.4	`/api/dynamic/Invoke` 経由の未認証による任意ユーザーパスワード変更	CWE-306	9.1 Critical	不要
CVE-2026-78832	OpenAuth.Net ≤ 8.3.4	`/api/dynamic/GetList` 経由の未認証による機密情報の漏洩	CWE-200	8.6 High	不要

各フォルダには以下が含まれます:

README.md — 完全なアドバイザリ: 公式 CVE 説明、根本原因分析、ステップバイステップの再現手順（HTTP リクエスト/レスポンスのペアおよび curl ワンライナー）、影響、修復方法、参考情報、タイムライン。
CVE-2026-XXXXX.json — CVE JSON 5 形式 の脆弱性レコード。公式の cvelistV5 リポジトリで使用されている構造に準拠し、報告者が参考用に作成したもの。

攻撃チェーンに関する注記（OpenAuth.Net）

CVE-2026-78831 と CVE-2026-78832 は同一の根本原因を共有しています — Dynamic API（/api/dynamic/*）が認証/認可を一切行わない — そして、これらを組み合わせることで完全な未認証の乗っ取りチェーンを構成できます:

GetList（CVE-2026-78832）が SysUser をダンプ → すべての平文認証情報を取得;
Invoke（CVE-2026-78831）が管理者パスワードを変更（またはダンプしたパスワードで単にログイン）;
無制限かつ未認証の /api/Files/Upload エンドポイント（別途報告済み、CVE ID は未割り当て）により、WebShell/RCE の可能性を伴う任意ファイルアップロードが可能。

追加の調査結果（CVE ID 未割り当て）

同じ調査の中で、OpenAuth.Net においてさらに2件の未認証の問題が特定されましたが、今回の割り当てでは CVE ID を取得していません:

/api/dynamic/Delete 経由の未認証によるデータ削除（CWE-285、反フォレンジックのための監査ログ削除を含む）— Medium;
/api/Files/Upload 経由の未認証かつ無制限のファイルアップロード（CWE-434、RCE の可能性）— Critical。

これらはローカルの調査レポートに記載されており、別途 CVE Program に提出される可能性があります。

責任ある開示

すべての再現は、管理されたラボ環境において、私有のテストインスタンスまたは許可されたターゲットに対して実施されました。キャプチャしたレスポンス内の機密値（パスワード、トークン、シークレット）は、これらの文書では伏字化されています。これらの開示は防御目的のみで公開されています — 影響を受ける製品のユーザーがリスクを評価し軽減するための支援を目的としています。

タイムライン

日付	イベント
2026-06-20	MITRE CVE Program に CVE リクエストを登録
2026-06-24	OpenAuth.Net のラボ検証を完了
2026-06	MITRE により CVE-2026-78829 ～ CVE-2026-78832 を割り当て
2026-10-30	GitHub にて公開技術情報を開示

発見・報告: CloudFutureSec（@CloudFutureSec）

cve-disclosures

人気