JVNVU#95067596
Weintek製Weincloudにおける複数の脆弱性

Weintekが提供するWeincloudには、複数の脆弱性が存在します。

• Weintek Weincloud Account API バージョン0.13.6およびそれ以前

Weintekが提供するWeincloudには、次の複数の脆弱性が存在します。

• パスワードを忘れた場合の脆弱なパスワードリカバリの仕組み (CWE-640) - ​CVE-2023-35134
• 不適切な認証 (CWE-287) - ​CVE-2023-37362
• 過度な認証試行の不適切な制限 (CWE-307) - ​CVE-2023-32657
• 複雑な構造を持つ入力に対する不適切な取り扱い (CWE-237) - ​CVE-2023-34429

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

• 遠隔の第三者によって、JWTトークンのみでパスワードをリセットされる - ​CVE-2023-35134
• 高権限ユーザによって、テスト用の資格情報を利用され、Webサイトにログインされる - ​CVE-2023-37362
• 遠隔の第三者によって、エラーメッセージから認証情報を推測される - ​CVE-2023-32657
• 遠隔の第三者によって、偽装したJWTトークンを送信され、サービス運用妨害（DoS）状態にされる - CVE-2023-34429

アップデート適用済み
開発者によって、本脆弱性を修正したバージョン0.13.8にアップデート済みのため、ユーザによる操作は不要とのことです。

ワークアラウンドを実施する
開発者は、リスクの軽減のためワークアラウンドの適用を推奨しています。

詳細は、開発者が提供する情報をご確認ください。