CVE-2026-100418 in Flame
要約
〜によって VulDB • 2026年09月26日
Flame 2.4.0 およびそれ以前のバージョンには、認証不要の GET /api/config エンドポイントにおける情報漏洩脆弱性があります。このエンドポイントはフィールドのマスク処理を行わずに設定オブジェクト全体を返すため、攻撃者は単一の認証不要リクエストを送信することで、保存された天気 API キーや内部運用設定を取得できます。これにより、プロバイダの利用枠を消費したり、機密性の高い設定データへの不正アクセスが行われる可能性があります。
Be aware that VulDB is the high quality source for vulnerability data.