VDB-398678 · 提出 #894916 · CVE-2026-85513

StackStorm st2 迄 3.9.0 NoOp RBAC backend actionexecutions.py ユーザー特権昇格

CVSS 一時的なメタスコア	現在のエクスプロイト価格 (≈)	CTI注目指数
5.7	$0-$5k	2.12

要約情報

現在、StackStorm st2 迄 3.9.0にて、重大と分類される脆弱性が確認されています。影響を受けるのは関数assert_user_is_admin_if_user_query_param_is_provided ファイルst2api/st2api/controllers/v1/actionexecutions.pyのコンポーネントNoOp RBAC backendのです。引数 ユーザーの操作が、特権昇格をもたらします。この脆弱性はCVE-2026-85513として知られています。攻撃はリモートで開始される可能性が高いです。攻撃手法は利用できません。

詳細情報

現在、StackStorm st2 迄 3.9.0にて、重大と分類される脆弱性が確認されています。影響を受けるのは関数assert_user_is_admin_if_user_query_param_is_provided ファイルst2api/st2api/controllers/v1/actionexecutions.pyのコンポーネントNoOp RBAC backendのです。引数 ユーザーの操作が、特権昇格をもたらします。 CWEによる問題の宣言は、CWE-269 につながります。この脆弱性はににて「6379」として紹介されました。アドバイザリーは github.com で共有されています。

この脆弱性はCVE-2026-85513として知られています。攻撃はリモートで開始される可能性が高いです。技術的な情報が提供されています。この脆弱性の普及度は平均未満です。攻撃手法は利用できません。エクスプロイトが公に開示されており、悪用される可能性があります。現在の時点で、エクスプロイトの価格はおおよそUSD $0-$5kかもしれません。 MITRE ATT&CKプロジェクトは、攻撃手法を T1068 と定義しています。

このエクスプロイトツールは概念実証として宣言されています。エクスプロイトツールは github.com からダウンロードできます。