JVNDB-2026-005719

Sz-Adminのsz-boot-parentにおけるデフォルトのパスワードの使用に関する脆弱性

feiyuchuixue sz-boot-parent バージョン 1.3.2-beta までに脆弱性が確認されました。この脆弱性は Password Reset Handler コンポーネントの /api/admin/sys-user/reset/password/ ファイルの不明な機能に影響を与えます。引数 userId の操作によりデフォルトパスワードが使用される問題が発生します。この攻撃はリモートで開始される可能性があります。攻撃コードは公開されており、悪用される恐れがあります。バージョン 1.3.3-beta へのアップグレードでこの問題は修正されます。パッチ名は aefaabfd7527188bfba3c8c9eee17c316d094802 です。影響を受けるコンポーネントのアップグレードを推奨します。プロジェクト側には事前に通知され、非常に専門的に対応されました。具体的には、パスワードリセットインターフェースに認可検証を追加し、対応する権限を持つユーザーのみがパスワードリセットを実行できるようにしました。

Sz-Admin

• sz-boot-parent 0.9.0 およびそれ以前
• sz-boot-parent 1.0.0
• sz-boot-parent 1.0.1
• sz-boot-parent 1.0.2
• sz-boot-parent 1.1.0
• sz-boot-parent 1.2.0
• sz-boot-parent 1.2.1
• sz-boot-parent 1.2.2
• sz-boot-parent 1.2.3
• sz-boot-parent 1.2.4
• sz-boot-parent 1.2.5
• sz-boot-parent 1.2.6
• sz-boot-parent 1.3.0
• sz-boot-parent 1.3.1
• sz-boot-parent 1.3.2

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• Code : CVE/sz-boot-parent-VPE_Unauthorized_Password_Reset.md at main  yuccun/CVE  GitHub

Vulnerability Database

• VulDB : CVE-2026-3186 feiyuchuixue sz-boot-parent Password Reset password default password
• VulDB : Submit #754037: feiyuchuixue https://github.com/feiyuchuixue/sz-boot-parent sz-boot-parent <= v1.3.2-beta VPE

1. デフォルトのパスワードの使用(CWE-1393) [その他]

1. CVE-2026-3186

1. National Vulnerability Database (NVD) : CVE-2026-3186
2. 関連文書 : 修：文件上接口加后和 MIME 型白名；模板下接口校路径合法性，非法路径返回提示，防止路径穿越；文件下接口允 …  feiyuchuixue/sz-boot-parent@aefaabf  GitHub
3. 関連文書 : Release v1.3.3-beta  feiyuchuixue/sz-boot-parent  GitHub
4. 関連文書 : GitHub - feiyuchuixue/sz-boot-parent: Sz-Admin：一个源RBAC中后台框架，代用。它合了最新的技，包括后端的Spring Boot 3、JDK 21、Mybatis Flex、Sa-Token、Knife4j和Flyway，以及前端的Vue 3、Vite5、TypeScript和Element Plus，致力于提供一个直、流且功能大的体

• [2026年03月02日]
    掲載