#20260215 Knownの乗っ取り脆弱性とRust悪性クレート

■ 今日のハイライト 今日は週末に公開された重要なセキュリティアップデートを3つピックアップして解説します。Webアプリの乗っ取りリスクから、開発ツールの権限管理ミスまで、週明け前にチェックしておきたい内容です。 ▼ Known：パスワードリセットトークンの漏洩 (CVE-2026-26273) ソーシャルパブリッシングツール「Known」v1.6.2において、致命的な不備が見つかりました。 ・内容：パスワードリセットページの隠しHTMLフィールドに、リセットトークンがそのまま出力されてしまう。 ・影響：認証なしで誰でも他人のアカウントを乗っ取り可能。 ・対策：直ちに修正版へアップデートしてください。 ▼ Renovate：環境変数の全漏洩 依存関係更新ツール「Renovate」の子プロセス管理に問題がありました。 ・内容：子プロセスに対して環境変数のフィルタリングが効かず、親プロセスの全環境変数が継承されていた。 ・影響：CI/CD環境のシークレット情報が悪意あるスクリプト等に読み取られるリスク。 ▼ Rust：悪意あるクレートの削除 crates.ioから「polymarket-client-sdks」が削除されました。 ・内容：正規ライブラリに名前を似せたタイポスクワッティング。 ・挙動：ローカルファイルからクレデンシャルを盗むコードが含まれていた。 ▼ その他の重要トピック ・【Wildfly】CVE-2025-23368：CLI認証におけるブルートフォース攻撃への脆弱性 ・【beautiful-mermaid】CVE-2026-26226：SVG属性インジェクションによるXSS ・【rPGP】CVE-2026-21895他：整合性チェック不備やDoSにつながるクラッシュの問題 #セキュリティ #エンジニア #ITニュース #Rust #脆弱性 Data sources: GitHub Advisory Database (CC-BY 4.0), JVN iPedia --- stand.fmでは、この放送にいいね・コメント・レター送信ができます。 https://stand.fm/channels/5ec48451f654bbcab4d3f793