JVNDB-2026-013597

Actual BudgetのActualにおける複数の脆弱性

Actualはローカルファーストのパーソナルファイナンスツールです。バージョン26.4.0以前では、認証されたユーザー（`BASIC`ロールを含む）がパスワード認証からOpenID Connectに移行したサーバー上で`ADMIN`権限に昇格できてしまいます。3つの脆弱性が組み合わさっています。`POST /account/change-password`には認可チェックがなく、任意のセッションからパスワードハッシュを書き換えることが可能です。移行時に非アクティブなパスワード`auth`行が削除されません。そして、ログインエンドポイントはクライアントが指定する`loginMethod`を受け入れ、サーバーのアクティブな認証設定を回避してしまいます。これらが組み合わさることで、攻撃者は既知のパスワードを設定し、マルチユーザー移行中に作成された匿名の管理者アカウントとして認証できてしまいます。これら3つの脆弱性は連続した一つのエクスプロイトチェーンを形成しており、単独では特権昇格は発生しません。`POST /change-password`の認可欠如はパスワードハッシュの上書きを可能にしますが、孤立した対象の行がある場合に限り意味を持ちます。移行後に残存する孤立したパスワード行は対象行を提供しますが、それだけでは認証に使えず無害です。クライアント制御のloginMethod "password"はパスワード認証を強制しますが、ステップ1で確立された既知のハッシュがなければ無効です。これらすべてを順に連結することで影響を与えることが可能です。単一の脆弱性だけでは特権昇格は起こりません。根本原因は`/change-password`の認可チェックの欠如であり、他の2つはそれを悪用可能にする前提条件です。バージョン26.4.0で修正されています。

Actual Budget

• Actual 26.4.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Privilege Escalation via 'change-password' Endpoint on OpenID-Migrated Servers  Advisory  actualbudget/actual  GitHub

1. 不適切なアクセス制御(CWE-284) [その他]
2. 認証の欠如(CWE-862) [その他]

1. CVE-2026-33318

1. National Vulnerability Database (NVD) : CVE-2026-33318
2. 関連文書 : Release 26.4.0 | Actual Budget

• [2026年04月30日]
    掲載