Supertokens
関連 9slug: supertokens
このタグの解説はまだありません。
Supertokens に関連する脆弱性 9
- 中 6.8 SuperTokens Core: A session created concurrently with account unlink survives the unlink CVE-2026-123804
- 高 8.1 SuperTokens Coreに認証を回避される脆弱性、別テナントでパスキーが通る SuperTokens Coreには、WebAuthnのサインインで別のテナントのパスキーが受け付けられる脆弱性が見つかりました。複数テナントで共有ユーザープールを使う環境では、所属していないテナントに自分のパスキーで認証されるおそれがあります。11.0.9、11.1.4、11.2.4、11.3.8、11.4.8、12.0.11、12.1.2、12.2.1、12.3.1で修正されているため、該当するバージョンの利用中であれば修正版への更新を急ぎましょう。 CVE-2026-123803
- 高 8.1 SuperTokens Coreに認証を回避され別のIdPユーザーとしてログインされる脆弱性 SuperTokens CoreのSAML認証に脆弱性があり、攻撃者が検証されていないアサーションを使って、IdPの別のユーザーとしてサインインできるおそれがあります。影響を受けるのは11.3.0から11.3.8、11.4.8、12.0.11、12.1.2、12.2.1、12.3.1未満のバージョンで、11.3.8、11.4.8、12.0.11、12.1.2、12.2.1、12.3.1の各版で修正されています。SAML認証を使っている場合は、修正版への更新を急いでください。 CVE-2026-123802
- 高 7.4 SuperTokens Coreに認証を再利用される脆弱性 SAML応答の再送で認可コードが発行される SuperTokens CoreのSAML callback処理に脆弱性が見つかり、正規に発行されたSAML応答とRelayStateを再送されると、攻撃者が利用者の認可コードを何度も取得できるおそれがあります。影響を受けるのは11.3.0から11.3.8、11.4.8、12.0.11、12.1.2、12.2.1、12.3.1のうち修正前の版で、11.3.8、11.4.8、12.0.11、12.1.2、12.2.1、12.3.1以降で修正されています。SAML認証を使っている場合は、早めに修正版へ更新してください。 CVE-2026-123801
- 重大 9.9 解説あり SuperTokens Coreに別アプリ乗っ取りの脆弱性、修正版あり 認証サーバーSuperTokens Coreで、1つのアプリのAPIキーから同じ接続URIドメイン配下の別アプリを乗っ取れる脆弱性が公表されました。該当構成なら系列ごとの修正版に更新し、APIキーの書き換えがないかも確認します。 CVE-2026-123800
- 高 7.4 SuperTokens Coreで期限切れのダッシュボード管理者セッションが有効なままになる脆弱性 SuperTokens Coreのダッシュボードで、有効期限を過ぎたセッションが引き続き認証を通る脆弱性です。影響を受けるのは11.0.0から11.0.9、11.1.0から11.1.4、11.2.0から11.2.4、11.3.0から11.3.8、11.4.0から11.4.8、12.0.0から12.0.11、12.1.0から12.1.2で、11.0.9、11.1.4、11.2.4、11.3.8、11.4.8、12.0.11、12.1.2に修正版が公開されています。すでにセッションを持つ管理者がいる環境では、修正版への更新を優先してください。 CVE-2026-123799
- 高 8.1 SuperTokens Coreに認証を回避される脆弱性、SAML応答の署名検証に不備 SuperTokens Coreでは、SAMLの署名検証に不備があり、IdP（ID基盤）の一般ユーザーが別のユーザーとして認証される可能性があります。影響を受けるのは11.3.0から11.3.6、11.4.0から11.4.6、12.0.0から12.0.9で、修正版は11.3.7、11.4.7、12.0.10です。修正版へ更新してください。 CVE-2026-123798
- 高 7.5 SuperTokens Coreに認証を回避される脆弱性、APIキーなしでロールを操作されるおそれ SuperTokens Coreには、未知のテナントパスを使うことでAPIキーとパブリックテナントの制限を回避され、アプリケーションのロールを作成・列挙されるおそれのある脆弱性があります。影響を受けるのは12.0.6から12.0.8未満、11.4.0から11.4.6未満、11.3.0から11.3.6未満、および11.3.0より前のバージョンです。11.3.6、11.4.6、12.0.8の修正版で対応できます。公表されたばかりのため、悪用の有無など最新の情報を確認してください。 CVE-2026-123797
- 中 5.9 認可不備 脆弱性 (CVE-2026-37171) が報告されています。機密情報が外部に流出する可能性があります。 CVE-2026-37171