つみかさね

CVE-2026-33318

High(8.8)

CVE-2026-33318 — Actual Budget OpenID Connect移行後の権限昇格

公開日: 2026-04-26データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
Actual Budgetactualbudget< 26.4.0

対応ガイド

high|推奨セキュリティ修正影響: 限定的

推奨アクション

  1. 1Actual Budgetのバージョンを確認する
  2. 2パスワード認証からOIDCに移行済みか確認する
  3. 3影響を受ける場合はv26.4.0以降へアップデートする

影響対象

Actual Budget（OIDC移行済み）利用者

補足

  • -パスワード→OIDC移行環境のみ影響。パスワード認証のみの環境は対象外
CVEActual Budget権限昇格OpenID Connect

概要

ローカルファーストの個人財務ツール「Actual Budget」のバージョン26.4.0未満に、権限昇格脆弱性が存在します。パスワード認証からOpenID Connectに移行したサーバが影響を受けます。

3つの弱点の組み合わせにより悪用が可能です：POST /account/change-password に認可チェックがないこと、移行時にパスワード認証行が削除されないこと、ログインエンドポイントがクライアント提供の loginMethod を受け入れること。これらを連鎖させることで、BASIC権限のユーザーがADMINに昇格できます。

CVSSベクトル

指標値
CVSSスコア8.8（High）
攻撃元区分ネットワーク
攻撃条件の複雑さ低
必要な権限レベル低
CWECWE-284, CWE-862

影響を受けるソフトウェア

製品ベンダー影響バージョン修正バージョン
Actual Budgetactualbudget26.4.0未満26.4.0

修正バージョンと回避策

  • 修正: Actual Budget v26.4.0以降へアップデート
  • 回避策: パスワード認証からOIDCに移行済みの場合、早急にアップデートを実施

関連リンク

データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-33318
GHSA:https://github.com/actualbudget/actual/security/advisories/GHSA-prp4-2f49-fcgp
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。