Apache Vysperに認証の不備による権限回避の脆弱性、修正版なし
Summary
Apache Vysperの登録機能(XEP-0077)に認証チェックの不備があり、認証済みの利用者が他のアカウントを乗っ取れるおそれがあります。対象はすべての版で、修正版は提供されません。プロジェクトは開発が終了しているため、代替のソフトウェアへの移行を検討してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Apache Vysperの登録機能(XEP-0077)に認証チェックの不備があり、認証済みの利用者が他のアカウントを乗っ取れるおそれがあります。対象はすべての版で、修正版は提供されません。プロジェクトは開発が終了しているため、代替のソフトウェアへの移行を検討してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Apache Software Foundation | Apache Vysper |
All versions |
— |
Original description The description as published by the source.
UNSUPPORTED WHEN ASSIGNED Authorization bypass in Apache Vysper, all versions.
Apache Vysper is an XMPP (Jabber) server library. Its XEP-0077 (In-Band Registration) implementation is missing an authentication check, allowing any authenticated user to compromise other accounts.
As this project is retired, we do not plan to release a version that fixes this issue. Users are recommended to find an alternative.
Source: oss-security (Openwall) NVD GitHub Advisory
References
- OSS-SECURITY CVE-2026-115748: Apache Vysper: Authorization bypass
- web security@apache.org
- web lists.apache.org
- web openwall.com
- web nvd.nist.gov
- web mina.apache.org
- web github.com