JVNDB-2026-019169

Snowflake Inc.のStreamlitにおける複数の脆弱性

Streamlit バージョン 1.53.0 までに脆弱性が発見されました。影響を受けるのはコンポーネント Palette Handler のライブラリ lib/streamlit/runtime/caching/hashing.py 内の特定の関数です。この操作により弱いハッシュの使用が引き起こされます。この攻撃を行うにはローカルアクセスが必要であり、攻撃には高度な複雑さが要求されます。悪用の難易度は高いと考えられています。この脆弱性の悪用方法は公開されており、実際に利用される可能性があります。この問題を修正するプルリクエストは現在受け入れ待ちの状態です。

Snowflake Inc.

• Streamlit 1.53.0 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Vulnerability Database

• VulDB : https://vuldb.com/cve/CVE-2026-10804
• VulDB : https://vuldb.com/submit/831508
• VulDB : https://vuldb.com/vuln/368253

1. 不完全、または危険な暗号アルゴリズムの使用(CWE-327) [その他]
2. 弱いハッシュの使用(CWE-328) [その他]

1. CVE-2026-10804

1. National Vulnerability Database (NVD) : CVE-2026-10804
2. 関連文書 : bug: @st.cache_data hash collision via fixed sampling seed and PIL P-mode palette omission  Issue #14622  streamlit/streamlit
3. 関連文書 : fix(caching): data-dependent sample seeds and P-mode PIL palette hashing by mserdukoff  Pull Request #14635  streamlit/streamlit  GitHub
4. 関連文書 : GitHub - streamlit/streamlit: Streamlit ― A faster way to build and share data apps.  GitHub

• [2026年06月11日]
    掲載