CVE-2026-25060 in OpenList
要約
〜によって VulDB • 2026年07月03日
OpenList Frontendは、OpenListのUIコンポーネントです。バージョン4.1.10より前では、すべてのストレージドライバ通信に対して証明書検証がデフォルトで無効になっています。internal/conf/config.go内のDefaultConfig()関数において、TlsInsecureSkipVerify設定はtrueに初期化されています。この脆弱性によりTLS証明書の検証が無効になるため、中間者攻撃（MitM）が可能になり、攻撃者はすべてのストレージ通信の傍受および改ざんを行うことができます。攻撃者は、ARPスプーフィングや不正なWi-Fiアクセスポイント、または乗っ取られた内部ネットワーク機器などのネットワークレベルの攻撃を通じてトラフィックを悪意のあるエンドポイントにリダイレクトし、この脆弱性を悪用できます。証明書検証がスキップされるため、システムは警告を発することなく、攻撃者が制御するサーバーとの暗号化接続を無自覚に確立します。これにより、すべてのストレージ操作の完全な復号、データ窃取、および改ざんが可能になりますが、セキュリティ警告は一切トリガーされません。この脆弱性は4.1.10で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.