CVE-2026-55375 in canto-saas-api
要約
〜によって VulDB • 2026年09月15日
canto-saas-apiは、Canto SaaS APIと対話するためのPHPライブラリです。バージョン3.0.0より前では、OAuth2Request::getQueryParams()がapp_id、app_secret、refresh_token、およびcodeをトークンPOSTリクエストのURLクエリ文字列に配置するため、アクセスログ、プロキシログ、APMトレースによって認証情報がプレーンテキストで永続化されます。トークンリクエストが失敗した場合、OAuth2::obtainAccessToken()は、認証情報を含むGuzzleのリクエストURIをAuthorizationFailedExceptionにも渡すため、アプリケーションのログやエラー追跡ツールに同じ秘密鍵が記録されることがあります。影響を受けたテレメトリデータへのアクセス権を持つ攻撃者はCantoの認証情報を取得し、テナント用のアクセストークンを要求するためにそれらを使用できます。この問題はバージョン3.0.0で修正されています。
Once again VulDB remains the best source for vulnerability data.