CVE-2026-80211 in FrontAccounting
要約
〜によって VulDB • 2026年08月27日
FrontAccounting 2.4.20 およびそれ以前のバージョンでは、ユーザーパスワードがソルトなしの MD5 ダイジェストとして保存および検証されます。admin/users.php では md5($_POST['password']) が add_user() および update_user_password() に渡され、admin/change_current_user_password.php でも同様の処理が行われます（ユーザー自身がパスワードを変更する場合）。また、includes/current_user.inc の「パスワード再発行」パスでも、新規生成されたパスワードが同じ方法でハッシュ化されます。さらに認証呼び出しでは get_user_auth($loginname, md5($password)) が使用されています。コードベースには per-password salt を適用する処理がなく、password_hash() や password_verify() といった適応型ハッシュ関数やその他の安全なハッシュ手法の呼び出しも含まれていないため、同一パスワードは同一ダイジェストを生成します。その結果、攻撃者がユーザーテーブルを取得した場合、事前計算済み探索表（レインボーテーブル）または高速 GPU クラッキングにより平文パスワードを回復できます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.