CVE-2026-7679

High(7.3)

CVE-2026-7679 — YunaiV yudao-cloud OAuth2認証不備

公開日: 2026-05-04データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品	ベンダー	影響バージョン
yudao-cloud	YunaiV	<= 2026.01

対応ガイド

high|推奨セキュリティ修正影響: 限定的

推奨アクション

1yudao-cloudを使用しているか確認する
2OAuth2トークンエンドポイントへのアクセスを制限する
3getAccessTokenの認証チェックを強化する
4修正版がリリースされ次第アップデートする

影響対象

yudao-cloud利用者マイクロサービス基盤管理者

補足

-ベンダー応答なしのため回避策での対応を推奨

CVEYunaiVyudao-cloud認証不備OAuth2

概要

YunaiV yudao-cloud（バージョン 2026.01 以下）において、OAuth2TokenServiceImpl.java の getAccessToken 関数に不適切な認証の脆弱性が存在します。

攻撃者はリモートからこの脆弱性を悪用し、適切な認証なしにOAuth2アクセストークンを取得できる可能性があります。これにより、認証を迂回してシステムの機能に不正アクセスされるリスクがあります。この脆弱性は公開済みですが、ベンダーからの応答はありません。

CVSSベクトル

指標	値
CVSSスコア	7.3
深刻度	High
CWE	CWE-287 (不適切な認証)
攻撃元区分	ネットワーク
攻撃条件の複雑さ	低
必要な特権レベル	不要

影響を受けるソフトウェア

製品	ベンダー	影響バージョン
yudao-cloud	YunaiV	2026.01 以下

修正バージョンと回避策

本稿執筆時点で修正版は未リリースです（ベンダー応答なし）
OAuth2トークンエンドポイントへのアクセスをネットワークレベルで制限する
独自に getAccessToken の認証チェックを追加するパッチの適用を検討する

関連リンク

NVD

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-7679

Xでシェアはてブ

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。