中 8.2

XWEB EVOに認証を回避される脆弱性、パスワードを再設定されるおそれ

CVE-2026-124015 SecPulse初出 5:07

概要

XWEB EVO 5.6.2から5.8.8に、認証を回避される脆弱性が見つかりました。認証なしの攻撃者が、次回ログイン時にパスワードの変更を求められるアカウントのパスワードを再設定し、そのアカウントでシステムに入り込むおそれがあります。この製品は2026年3月にサポートが終了しているため、修正版は提供されていない可能性があります。最新の情報を確認してください。

AI要約

SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版 → 修正版	修正版
Copeland	CopelandXWEB EVO	5.6.2 〜 5.8.8→ 記載なし	記載なし

この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

XWEB EVO 5.6.2 through 5.8.8 contains an authentication bypass vulnerability that allows unauthenticated attackers to set the password of any account flagged must-reset-at-next-login by exploiting missing session validation in the users.lua update_password action. Attackers can reset the password of newly onboarded operator accounts, clearing the password_expiration flag and gaining an immediately usable authenticated foothold on the system. This product line reached it's end of service date in March 2026.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory