CVE-2025-24887 in OpenCTI
要約
〜によって VulDB • 2026年05月31日
OpenCTIはオープンソースのサイバー脅知能プラットフォームです。バージョン6.4.8以降、6.4.10より前のバージョンでは、許可/拒否リストをバイパスでき、ユーザーが本来変更不可能な属性を変更することが可能になります。ユーザーの`external`フラグのオン/オフを切り替えたり、ユーザーのトークン値を変更したりすることができます。また、`otp_qr`や`otp_activated`など、許可リストに含まれていない属性も編集可能です。OpenCTI環境に外部ユーザーが存在し、これらのユーザーの身元に関する情報が機密である場合、上記の脆弱性を利用して、標準的な低権限ユーザーとして既存のユーザーアカウントを列挙することが可能です。この問題はバージョン6.4.10で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.