JVNDB-2026-005941

OxygenzのClipBucket V5における複数の脆弱性

ClipBucket v5 はオープンソースの動画共有プラットフォームです。バージョン 5.5.3 #59 より前のバージョンには、コレクションアイテムの操作に認可の脆弱性が存在し、通常の認証ユーザーが他のユーザーのコレクションアイテムを変更できてしまいます。この脆弱性は、認可チェックが欠落している追加アイテム操作 (/actions/add_to_collection.php) と、removeItemFromCollection() 内の所有権チェックが壊れている削除アイテム操作 (/manage_collections.php?mode=manage_items...) の両方に影響しています。その結果、攻撃者は自分が所有していないコレクションにアイテムを追加および削除できてしまう状態でした。この問題はバージョン 5.5.3 #59 で修正されています。

Oxygenz

• ClipBucket V5 5.3 以上 5.5.3-59 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : IDOR in Collection Item Management (Missing Authorization Allows Unauthorized Add and Delete in Other Users’ Collections)  Advisory  MacWarrior/clipbucket-v5  GitHub

1. ユーザ制御の鍵による認証回避(CWE-639) [その他]
2. 不正な認証(CWE-863) [その他]

1. CVE-2026-28354

1. National Vulnerability Database (NVD) : CVE-2026-28354

• [2026年03月05日]
    掲載