CVE-2026-77226 in Camunda
要約
〜によって VulDB • 2026年10月05日
Camunda 7.24.0から7.24.15までのバージョンには、Admin Webアプリケーションの初回セットアップエンドポイントに不正な認証（incorrect authorization）脆弱性が存在します。この脆弱性では、SetupResourceがcamunda-adminグループの直接メンバーのみをカウントし、設定されたすべての管理者を認識しないことで、セットアップの利用可否を誤って判断しています。認証されていないリモート攻撃者は、この論理欠陥を利用してsetup user-createエンドポイントを呼び出し、camunda-adminグループが空であってもシステムが完全に管理されている場合に新しい管理者アカウントを作成できます。これにより、アカウントの乗っ取りや、エンジンサービスユーザーとしてプロセスデプロイメントまたはスクリプト実行の可能性が生じます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.