CVE-2026-93354 in Taskview Community
要約
〜によって VulDB • 2026年09月24日
Taskview Community 1.56.0 より前のバージョンには、認証が欠落した脆弱性があります。これにより、攻撃者は認証なしで任意の OAuth クライアントを登録し、OAuth 2.0 Dynamic Client Registration エンドポイントを悪用してユーザーアカウントを乗っ取ることができます。このエンドポイントはデフォルトで有効になっており、認証は不要です。攻撃者は登録エンドポイントに POST リクエストを送信して client_id と client_secret を取得し、攻撃者が制御するリダイレクト URI を指す不正な認可リンクを作成することで、認可コードを取得し、それらをアクセストークンと交換します。これにより、被害者のアカウントデータへの完全な API アクセス権限が与えられます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.