JVN#38632731
スマートフォンアプリ「くら寿司 公式アプリ」における証明書検証不備の脆弱性

株式会社EPGが提供するスマートフォンアプリ「くら寿司 公式アプリ」には、証明書検証不備の脆弱性が存在します。

• Androidアプリ「くら寿司 公式アプリ」バージョン 2.0.11から3.9.10まで
• iOSアプリ「くら寿司 公式アプリ」バージョン 2.0.11から3.9.10まで

株式会社EPGが提供するスマートフォンアプリ「くら寿司 公式アプリ」には、次の脆弱性が存在します。

• プッシュ通知に関する通信における証明書検証不備（CWE-295）
  • CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N 基本値 9.1
  • CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N 基本値 7.4
  • 無線LANのアクセスポイントを設置した第三者によって、中間者攻撃（man-in-the-middle attack）が行われることを想定
  • CVE-2026-41872

中間者攻撃（man-in-the-middle attack）が行われた場合、プッシュ通知に関する通信内容の盗聴や改ざんが行なわれる可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
次のバージョンで本件の対策が行われています。

• Androidアプリ「くら寿司 公式アプリ」 3.9.11
• iOSアプリ「くら寿司 公式アプリ」 3.9.11