JVNDB-2026-014890

Vaadin Ltd.のVaadinにおけるアクセス制御に関する脆弱性

Vaadinのバージョン14.0.0から14.14.0、23.0.0から23.6.6、24.0.0から24.9.7、および25.0.0から25.0.1において、予約されたフレームワークパスのパターンマッチングの不整合により、Spring Securityを使用するアプリケーションに認証バイパスの脆弱性が存在しています。末尾にスラッシュがない状態で/VAADINエンドポイントにアクセスすると、セキュリティフィルターをバイパスでき、認証されていないユーザーがフレームワークの初期化をトリガーし、適切な認可なしにセッションを作成することが可能です。影響を受けるバージョンのSpring Securityを使用しているユーザーは以下のようにアップグレードしてください：14.0.0〜14.14.0は14.14.1へ、23.0.0〜23.6.6は23.6.7へ、24.0.0〜24.9.7は24.9.8へ、25.0.0〜25.0.1は25.0.2以上へアップグレードしてください。それ以外に、Vaadinのバージョン10〜13および15〜22はすでにサポートされていないため、最新の14、23、24、または25のいずれかのバージョンへ更新してください。

Vaadin Ltd.

• Vaadin 10.0.0 以上 14.14.1 未満
• Vaadin 15.0.0 以上 23.6.7 未満
• Vaadin 24.0.0 以上 24.9.8 未満
• Vaadin 25.0.0 以上 25.0.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Vaadin Ltd.

• Vaadin : CVE-2026-2742: Unauthorized Session Creation via Reserved Framework Path Access

1. 不適切なアクセス制御(CWE-284) [その他]
2. その他(CWE-Other) [NVD評価]

1. CVE-2026-2742

1. National Vulnerability Database (NVD) : CVE-2026-2742
2. 関連文書 : fix: Do not serve reserved folders (#22998) (CP: 25.0) by vaadin-bot  Pull Request #23033  vaadin/flow  GitHub
3. 関連文書 : fix: Do not serve reserved folders (#22998) (#23037) (CP: 23.6) by vaadin-bot  Pull Request #23052  vaadin/flow  GitHub
4. 関連文書 : fix: Do not serve reserved folders (#22998) (CP: 24.9) by vaadin-bot  Pull Request #23034  vaadin/flow  GitHub
5. 関連文書 : fix: Do not serve reserved folders (#22998) by caalador  Pull Request #23037  vaadin/flow  GitHub
6. 関連文書 : fix: Do not serve reserved folders by caalador  Pull Request #22998  vaadin/flow  GitHub
7. 関連文書 : fix: Do not serve reserved folders (#22998) (#23037) by caalador  Pull Request #23057  vaadin/flow  GitHub

• [2026年05月11日]
    掲載