JVNDB-2026-023421

Apache Software Foundationのhelixにおける WebSocket でのオリジン検証の欠如に関する脆弱性

Apache Helixのすべてのプラットフォーム上のバージョン2.0.0までにおけるREST API（helix-rest、org.apache.helix.rest.server.filters.CORSFilter）での許容的なクロスオリジンリソースシェアリング（CORS）は、認証済みユーザーが訪問するウェブページを制御するリモート攻撃者に対して、任意のオリジンからのクロスオリジンリクエストを介して管理用RESTエンドポイントからのレスポンスを読み取り、リクエストを発行できる状態を引き起こします。これはフィルターが条件なくAccess-Control-Allow-Origin: *をAccess-Control-Allow-Credentials: trueと共に返し、プリフライトレスポンスに任意のAccess-Control-Request-MethodおよびAccess-Control-Request-Headersの値を反映させるためです。ユーザーはこの問題を修正したバージョン2.0.1へアップグレードすることを推奨します。

Apache Software Foundation

• helix 2.0.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-57111: Apache Helix REST: Permissive CORS Configuration in REST API Allows Unrestricted Cross-Origin-Apache Mail Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-57111: Apache Helix REST: Permissive CORS Configuration in REST API Allows Unrestricted Cross-Origin

1. WebSocket でのオリジン検証の欠如(CWE-1385) [その他]

1. CVE-2026-57111

1. National Vulnerability Database (NVD) : CVE-2026-57111

• [2026年07月13日]
    掲載