JVNDB-2026-009609

PinchtabのPinchTabにおけるGET リクエストにおけるクエリ文字列からの情報漏えいに関する脆弱性

PinchTabは、AIエージェントがChromeブラウザを直接制御できるスタンドアロンのHTTPサーバーです。PinchTabのバージョンv0.7.8からv0.8.3までは、`Authorization`ヘッダーに加えて`token`というURLクエリパラメーターからAPIトークンを受け入れていました。有効なAPI認証情報がURLで送信されると、その情報はリバースプロキシのアクセスログ、ブラウザ履歴、シェル履歴、クリップボード履歴、完全なURLを記録するトレースシステムなど、中間者やクライアント側ツールによってリクエストURIを通じて露出する可能性があります。この問題は直接的な認証回避によるものではなく、安全でない認証情報の送信方法に起因しています。トークンが設定され、クライアントがクエリパラメーター形式を実際に使用している環境にのみ影響しました。PinchTabのセキュリティガイダンスでは既に`Authorization: Bearer token`の使用を推奨していましたが、v0.8.3では依然として`?token=`を受け入れており、トークンを含むURLを生成・利用するファーストパーティのフローが存在しました。この問題はv0.8.4で修正され、クエリ文字列によるトークン認証が削除され、安全なヘッダーまたはセッションベースの認証フローを必須としました。

Pinchtab

• PinchTab 0.7.8 以上 0.8.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : API Bearer Token Exposed in URL Query Parameter Leads to Credential Leakage via Server Logs and Intermediary Systems  Advisory  pinchtab/pinchtab  GitHub

1. GET リクエストにおけるクエリ文字列からの情報漏えい(CWE-598) [その他]

1. CVE-2026-33620

1. National Vulnerability Database (NVD) : CVE-2026-33620
2. 関連文書 : Release v0.8.4  pinchtab/pinchtab  GitHub

• [2026年04月02日]
    掲載