JVNDB-2026-007637

Harvard University (Computational Policy Lab)のPingpongにおけるユーザ制御の鍵による認証回避に関する脆弱性

PingPongは、大規模言語モデル（LLM）を教育や学習に活用するためのプラットフォームです。7.27.2以前のバージョンでは、認証済みユーザーが意図された認可範囲外のファイルを取得または削除できる可能性がありました。この問題により、ユーザーがアップロードしたファイルやモデル生成の出力ファイルを含むプライベートファイルを取得または削除される恐れがありました。悪用には少なくとも1つのスレッドを閲覧する権限と認証が必要であり、削除には1つ以上のスレッドに参加する権限と認証が必要でした。この脆弱性は7.27.2で修正されています。

Harvard University (Computational Policy Lab)

• Pingpong 7.27.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : PingPong: Improper access control in thread file endpoints could allow access outside intended scope  Advisory  comppolicylab/pingpong  GitHub

1. ユーザ制御の鍵による認証回避(CWE-639) [その他]

1. CVE-2026-32097

1. National Vulnerability Database (NVD) : CVE-2026-32097

• [2026年03月18日]
    掲載