OpsTree REMSの認証不備の脆弱性、データベースの接続情報が漏えいするおそれ
Summary
OpsTree REMS 1.0.0以前には、認証が行われていない脆弱性があります。認証なしの遠隔からの攻撃者が、Governance APIの/api/v1/databasesにアクセスし、保存されたデータベースのホスト名・ユーザー名・パスワードを取得できるおそれがあります。公表は2026年11月11日で、修正版は事実に示されていないため、最新の情報を確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
OpsTree REMS 1.0.0以前には、認証が行われていない脆弱性があります。認証なしの遠隔からの攻撃者が、Governance APIの/api/v1/databasesにアクセスし、保存されたデータベースのホスト名・ユーザー名・パスワードを取得できるおそれがあります。公表は2026年11月11日で、修正版は事実に示されていないため、最新の情報を確認してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| OpsTree SolutionsREMS |
≤ 1.0.0→ Not listed |
Not listed |
This record does not list fixed versions. Check the article or the vendor advisory in the references for whether and where it is fixed.
Original description The description as published by the source.
OpsTree REMS through 1.0.0 contains a missing authentication vulnerability that allows unauthenticated remote attackers to access Governance API endpoints, including /api/v1/databases. Attackers can send requests without an Authorization header, or with invalid or tampered JWT tokens, to retrieve stored database hosts, usernames, and passwords.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web opstree.com
- web github.com