← 戻る
CVE-2026-82466
high
CVSS 8.7
Rodauth before 2.46.0 contains an authentication bypass vulnerability in the webauthn_login route...
概要
Rodauth before 2.46.0 contains an authentication bypass vulnerability in the webauthn_login route...
AI要約 openai / gpt-4o
Rodauth 2.46.0より前のバージョンには、webauthn_loginルートにおける認証バイパスの脆弱性が存在します。この脆弱性は、ログイン済みのユーザーが任意のアカウントとして認証を受けることを可能にします。セッションアカウント識別子に誤ったアカウント解決ロジックがあるため、攻撃者はこの問題を利用して、認証を完了する際に任意のユーザーとしてログインすることができます。
❓ 何が問題か
Rodauthのwebauthn_loginルートにおける認証バイパスの脆弱性
📍 影響範囲
Rodauth 2.46.0より前のバージョン
🔥 重要度
この脆弱性により、攻撃者はアカウントの乗っ取りが可能となるため、重大な影響があります。
🔧 修正方法
Rodauthをバージョン2.46.0以上にアップグレードする。
🛡️ 暫定回避
特に記載はないが、最新のセキュリティパッチを適用することが推奨される。
🔍 検知方法
セッション管理のログを監査し、意図しないアカウントアクセスがないか確認する。
参照URL
- web https://github.com/jeremyevans/rodauth
- web https://github.com/jeremyevans/rodauth/commit/35d74a9f07b2005a8ea75fc11a6539c04f3c2840
- web https://github.com/jeremyevans/rodauth/security/advisories/GHSA-3pvr-v35r-4r75
- web https://www.vulncheck.com/advisories/rodauth-before-2.46.0-authentication-bypass-via-webauthn-login
- web https://nvd.nist.gov/vuln/detail/CVE-2026-82466
- web https://github.com/advisories/GHSA-qw88-v783-w782