CVE-2026-65709 in sysPass
要約
〜によって VulDB • 2026年07月24日
sysPass 3.2.11 より前のバージョンには、JSON-RPC API にオブジェクトレベルの認可が欠落している脆弱性があります。これにより、API トークン保有者はアカウントごとのアクセス制御なしに、保管庫全体のアカウントメタデータの列挙、パスワードの上書き、およびアカウントの削除を行うことができます。攻撃者は AccountFilterUser チェックを実行せずに viewAction、editAction、deleteAction、および editPassAction などの AccountController メソッドを呼び出し、割り当てられたトークンの権限範囲を超えてアカウントの変更や削除を行えます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.