高 7.1

smart_proxy_dynflowの脆弱性、認証を回避され job詳細やパスワードが見られる恐れ

CVE-2026-107152 SecPulse初出 5:04

概要

smart_proxy_dynflowのタスクコンソールに、Capsuleの認証局が署名したクライアント証明書であれば、接続を許可してしまう脆弱性が見つかりました。このような証明書を持つ低権限の攻撃者が、ジョブの詳細やジョブに渡されたパスワードを閲覧したり、実行中のタスクを取り消したりできるおそれがあります。CVSSは7.1です。修正版の有無については、最新の情報を確認してください。

AI要約

SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

An improper authentication vulnerability has been found in the task console in the smart_proxy_dynflow package. The console accepts any client certificate signed by the capsule's certificate authority. It does not check the list of servers the capsule trusts. A low-privileged network attacker or user must already hold such a certificate. They can open the console and read job details. Those details include passwords when a job was given them. They can also cancel a running task.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory