JVNDB-2026-017433

Apache Software FoundationのApache ShiroにおけるHTTPS セッション内の Secure 属性がない重要な Cookie に関する脆弱性

Apache Shiroのデフォルト設定では、HTTPSセッションにおいてセンシティブなクッキーが「Secure」属性なしで送信されます。この問題はApache Shiroのバージョン1.0から2.1.0および3.0.0-alpha-1に影響します。ユーザーは問題を修正したバージョン2.1.1または3.0.0-alpha-2以降にアップグレードすることを推奨します。影響を受けるバージョンでは、Shiro独自のセッションマネージャーとRemember-MeマネージャーがデフォルトでJSESSIONIDおよびrememberMeクッキーを「Secure」属性なしで送信してしまいます。

Apache Software Foundation

• Apache Shiro 2.1.1 未満
• Apache Shiro 3.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Apache Shiro : Security Reports | Apache Shiro

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-43828: Apache Shiro: Shiro's native session and rememberMe cookies do not have secure flag set by default

1. HTTPS セッション内の Secure 属性がない重要な Cookie(CWE-614) [その他]

1. CVE-2026-43828

1. National Vulnerability Database (NVD) : CVE-2026-43828

• [2026年06月03日]
    掲載