vs gauge
区分
JVN番号
タイトル
JVN
深刻度
最終更新日
CVE番号
New
JVNDB-2026-009399

openVESSLのAnchorrにおける複数の脆弱性

9.0
2026/03/31 11:46
CVE-2026-32891
JVNDB-2026-009399
openVESSLのAnchorrにおける複数の脆弱性
概要
Anchorrは、映画やテレビ番組のリクエストを行い、メディアサーバーにアイテムが追加された際に通知を受け取るためのDiscordボットです。バージョン1.4.1以下には、Jellyseerrのユーザーセレクターに格納型XSS脆弱性が存在します。Jellyseerrは、どのアカウント保持者でもAnchorr管理者のブラウザセッションで任意のJavaScriptを実行できるようにします。挿入されたスクリプトは認証済みの/api/configエンドポイントを呼び出し、アプリケーションの完全な設定を平文で返します。これにより、攻撃者は有効なAnchorrセッショントークンを偽造でき、管理者パスワードを知らなくてもダッシュボードの完全な管理者アクセスを取得できます。同じレスポンスはあらゆる統合サービスのAPIキーやトークンも公開し、JELLYFIN_API_KEY経由でJellyfinメディアサーバーに、JELLYSEERR_API_KEY経由でJellyseerrリクエストマネージャーに、DISCORD_TOKEN経由でDiscordボットの同時アカウント乗っ取りを招く恐れがあります。この問題はバージョン1.4.2で修正されました。
想定される影響と対策
当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。
正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
JVN情報　※( )内はCVSS v2の値
深刻度 9.0
CVECVE-2026-32891
公表日2026/03/20 00:00
登録日2026/03/31 11:46
更新日2026/03/31 11:46
CVSS v3情報
…
全ての情報を閲覧するにはユーザー登録（無料）またはログインが必要です。
新規登録
ログイン