PAC4J CSRF and LDAP Injection Vulnerabilities (CVE-2026-40458/40459) Advisory

PAC4J ソフトウェアの脆弱性サマリー 脆弱性概要 CERT Polska は、PAC4J ソフトウェアにおける 2 つのセキュリティ脆弱性を公開しました。 1. クロスサイトリクエストフォージェリ (CSRF) - CVE ID: CVE-2026-40458 - タイプ: CWE-352 (Cross-Site Request Forgery) - 説明: 攻撃者は悪意のあるリクエストを構築し、PAC4J 内の 関数の決定論的な特性を利用して、衝突計算により有効な CSRF トークンを生成できます。これによりトークンのセキュリティ強度が 32 ビットまで低下し、CSRF 保護が無効化されます。その結果、攻撃者は被害者の知らないうちに機微な操作（プロフィールの変更、パスワードの変更など）を実行可能になります。 2. LDAP インジェクション - CVE ID: CVE-2026-40459 - タイプ: CWE-90 (LDAP クエリで使用される特殊要素の不適切な中和) - 説明: 低権限の攻撃者が、悪意のある LDAP クエリ構文を注入することで、ID ベースの検索パラメータ制限を回避し、承認されていない LDAP クエリを実行してディレクトリデータを操作することができます。 影響範囲 CSRF 脆弱性: PAC4J バージョン 5.7.10 および 6.4.1 に影響。 LDAP インジェクション脆弱性: PAC4J バージョン 4.5.10、5.7.10、および 6.4.1 に影響。 修正ソリューション CSRF 脆弱性: PAC4J バージョン 5.7.10 および 6.4.1 で修正済み。 LDAP インジェクション脆弱性: PAC4J バージョン 4.5.10、5.7.10、および 6.4.1 で修正済み。 補足情報 レポート送信元: Bartłomiej Dmitruk (striga.a) によって CERT Polska に報告されました。 公開日: 2026年4月17日。

目標達成 すべての支援者に感謝 — 100%達成しました！

PAC4J CSRF and LDAP Injection Vulnerabilities (CVE-2026-40458/40459) Advisory

目標達成すべての支援者に感謝 — 100%達成しました！