Apache Vysperに認証の不備による権限回避の脆弱性、修正版なし
概要
Apache Vysperの登録機能(XEP-0077)に認証チェックの不備があり、認証済みの利用者が他のアカウントを乗っ取れるおそれがあります。対象はすべての版で、修正版は提供されません。プロジェクトは開発が終了しているため、代替のソフトウェアへの移行を検討してください。
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Apache Vysperの登録機能(XEP-0077)に認証チェックの不備があり、認証済みの利用者が他のアカウントを乗っ取れるおそれがあります。対象はすべての版で、修正版は提供されません。プロジェクトは開発が終了しているため、代替のソフトウェアへの移行を検討してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Apache Software Foundation | Apache Vysper |
すべての版 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
UNSUPPORTED WHEN ASSIGNED Authorization bypass in Apache Vysper, all versions.
Apache Vysper is an XMPP (Jabber) server library. Its XEP-0077 (In-Band Registration) implementation is missing an authentication check, allowing any authenticated user to compromise other accounts.
As this project is retired, we do not plan to release a version that fixes this issue. Users are recommended to find an alternative.
出典: oss-security (Openwall) NVD GitHub Advisory
参照URL
- OSS-SECURITY CVE-2026-115748: Apache Vysper: Authorization bypass
- web security@apache.org
- web lists.apache.org
- web openwall.com
- web nvd.nist.gov
- web mina.apache.org
- web github.com