JVNDB-2026-008837

Quantum NousのNew APIにおける認証に関する脆弱性

New APIは大規模言語モデル（LLM）ゲートウェイおよび人工知能（AI）資産管理システムです。バージョン0.10.0以降、普遍的なセキュア検証フローに論理的な欠陥が存在し、登録済みパスキーを持つ認証済みユーザーがWebAuthnアサーションを完了しなくてもセキュア検証を満たすことが可能です。公開時点で修正済みのバージョンは存在しません。修正リリースが適用されるまで、特権のあるセキュア検証アクションのステップアップ方法としてパスキーに依存せず、運用上可能であればそれらのアクションに対してTOTPや2FAを要求するか、影響を受けるセキュア検証保護エンドポイントへのアクセスを一時的に制限してください。

Quantum Nous

• New API 0.10.0 以上 0.11.9 未満
• New API 0.11.9

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Passkey-based secure step-up verification bypass for root-only channel secret disclosure  Advisory  QuantumNous/new-api  GitHub

1. 不適切な認証(CWE-287) [その他]

1. CVE-2026-32879

1. National Vulnerability Database (NVD) : CVE-2026-32879

• [2026年03月27日]
    掲載