JVNDB-2026-008301

feathersjsのfeathersにおける認証に関する脆弱性

FeathersjsはTypeScriptまたはJavaScriptでWeb APIおよびリアルタイムアプリケーションを作成するためのフレームワークです。バージョン5.0.0から5.0.42未満の間において、認証されていない攻撃者がクエリ文字列に偽造されたプロファイルを含む細工されたGETリクエストを直接/oauth/:provider/callbackに送信できます。OAuthサービスの認証ペイロードは、Grantのセッションやステートのレスポンスが空の場合にparams.query（生のリクエストクエリ）に到達するフォールバックチェーンを持っています。攻撃者はOAuthの認可フローを開始していないため、Grantには利用できるセッションがなくレスポンスを生成しません。そのため、フォールバックが発動します。偽造されたプロファイルはエンティティの照会およびJWTの発行を促進し、攻撃者はOAuthプロバイダに連絡することなく既存ユーザーの有効なアクセストークンを取得できます。この脆弱性はバージョン5.0.42で修正されました。

feathersjs

• feathers 5.0.0 以上 5.0.42 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : OAuth Callback Account Takeover   Advisory  feathersjs/feathers  GitHub

1. 不適切な認証(CWE-287) [その他]

1. CVE-2026-29792

1. National Vulnerability Database (NVD) : CVE-2026-29792

• [2026年03月24日]
    掲載