Modoboa before 2.9.0 contains an insecure direct object refe…(CVE-2026-56780・CVSS 7.5)

概要

Modoboa before 2.9.0 contains an insecure direct object reference vulnerability in the PUT /api...

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

Modoboa before 2.9.0 contains an insecure direct object reference vulnerability in the PUT /api/v1/accounts/{pk}/password/ endpoint that allows domain administrators to change any user's password. Attackers with domain admin privileges can bypass object-level access controls to reset superadmin passwords and achieve full account takeover.

出典: GitHub Security Advisories (Global) NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

Modoboaのバージョン2.9.0より前には、ドメイン管理者が任意のユーザーパスワードを変更できる脆弱性があります。具体的には、PUT /api/v1/accounts/{pk}/password/エンドポイントにおける不適切な直接オブジェクト参照により、攻撃者はオブジェクトレベルのアクセス制御をバイパスし、スーパーデジタルパスワードをリセットすることが可能です。これにより、完全なアカウント乗っ取りが可能になります。

❓ 何が問題か

ModoboaのAPIでの不適切な直接オブジェクト参照により、ドメイン管理者が任意のユーザーパスワードを変更できる脆弱性。

📍 影響範囲

Modoboaのバージョン2.9.0より前のPUT /api/v1/accounts/{pk}/password/エンドポイント。

🔥 重要度

攻撃者はオブジェクトレベルのアクセス制御をバイパスし、スーパーデジタルパスワードをリセットしてアカウント乗っ取りが可能。

🔧 修正方法

Modoboaをバージョン2.9.0以降にアップデートする。

🛡️ 暫定回避

情報なし

🔍 検知方法

アクセスログを監視して、異常なパスワード変更リクエストを検出する。