JVN#46901199
Hinemosにおける不適切な権限の割り当ての脆弱性

株式会社NTTデータ先端技術が提供するHinemosには、不適切な権限の割り当ての脆弱性が存在します。

• Hinemos ver.7.2.0
• Hinemos ver.7.1.0から7.1.2まで
• Hinemos ver.7.0.0から7.0.4まで
• Hinemos ver.6.2.0から6.2.2まで（通常保守サポート終了済み）
• Hinemos ver.6.1.0から6.1.2まで（通常保守サポート終了済み）
• Hinemos ver.6.0.0から6.0.3まで（通常保守サポート終了済み）

株式会社NTTデータ先端技術が提供するHinemosには、次の脆弱性が存在します。

• パスワード変更APIにおける不適切な権限の割り当て（CWE-266）
  • CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N 基本値 7.1
  • CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N 基本値 6.5
  • CVE-2026-109849

一般ユーザに割り当て可能な特定の権限でパスワード変更APIにアクセス可能な攻撃者によって、管理者ユーザのパスワードを変更される可能性があります。

有償版契約者向け対策：
パッチを適用する
開発者が提供する情報をもとにパッチを適用してください。

OSS版ユーザ向け対策：
最新のインストーラでアップデートインストールする
開発者が提供する情報をもとに最新版のインストーラを実行し、アップデートインストールしてください。

通常保守サポート終了済みバージョンユーザ向け対策：
ワークアラウンドを実施する
開発者が提供する回避策を適用することで、本脆弱性の影響を軽減することが可能です。