XWEB EVOに認証を回避される脆弱性、パスワードを再設定されるおそれ
Summary
XWEB EVO 5.6.2から5.8.8に、認証を回避される脆弱性が見つかりました。認証なしの攻撃者が、次回ログイン時にパスワードの変更を求められるアカウントのパスワードを再設定し、そのアカウントでシステムに入り込むおそれがあります。この製品は2026年3月にサポートが終了しているため、修正版は提供されていない可能性があります。最新の情報を確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
XWEB EVO 5.6.2から5.8.8に、認証を回避される脆弱性が見つかりました。認証なしの攻撃者が、次回ログイン時にパスワードの変更を求められるアカウントのパスワードを再設定し、そのアカウントでシステムに入り込むおそれがあります。この製品は2026年3月にサポートが終了しているため、修正版は提供されていない可能性があります。最新の情報を確認してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| CopelandXWEB EVO |
5.6.2 – 5.8.8→ Not listed |
Not listed |
This record does not list fixed versions. Check the article or the vendor advisory in the references for whether and where it is fixed.
Original description The description as published by the source.
XWEB EVO 5.6.2 through 5.8.8 contains an authentication bypass vulnerability that allows unauthenticated attackers to set the password of any account flagged must-reset-at-next-login by exploiting missing session validation in the users.lua update_password action. Attackers can reset the password of newly onboarded operator accounts, clearing the password_expiration flag and gaining an immediately usable authenticated foothold on the system. This product line reached it's end of service date in March 2026.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com