JVNDB-2026-029079

Botpressにおける複数の脆弱性

Twilio統合のWebhookハンドラは、Twilioの「X-Twilio-Signature」を検証せずに任意のPOSTリクエストを受け入れてしまいます。メディアメッセージを処理する際、ユーザーが制御可能なURL（「MediaUrlN」パラメータ）をHTTPリクエストで取得し、そのリクエストには統合のTwilio資格情報が「Authorization」ヘッダーに含まれています。攻撃者は自分のサーバーを指す偽造されたWebhookペイロードを作成することができ、被害者の「accountSID」および「authToken」を平文（base64エンコードされたBasic認証）で受け取ることが可能です。これにより、Twilioアカウントの完全な乗っ取りにつながります。

Botpress

• Botpress

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Tenable, Inc.

• Tenable Research Advisories : Botpress - Credential Disclosure via Twilio Webhook Handler - Research Advisory | Tenable

1. データの信頼性についての不十分な検証(CWE-345) [その他]
2. クロスサイトリクエストフォージェリ(CWE-352) [その他]

1. CVE-2026-4984

1. National Vulnerability Database (NVD) : CVE-2026-4984

• [2026年08月20日]
    掲載