CVE-2026-59705CVSS 9.8 超危険2026-07-08
mem0 の openmemory/api における認可欠落によりデータ漏洩とサービス拒否に至る
mem0 の openmemory/api コンポーネントでは、重要な API 経路に認証ミドルウェアが登録されていないため、重要機能の認証機構の欠落（CWE-306）というセキュリティ上の欠陥が存在します。未認証の攻撃者はこれら露出した端点へアクセスし、任意の利用者の記憶データを読み取り、書き込み、削除できます。攻撃者は任意の user_id 引数を与えるか、記憶検索の端点へ直接アクセスして私的な記憶内容を露出させられ、あるいは global_pause=true を伴う一時停止の端点を呼び出して、すべての利用者に対するサービス拒否を引き起こせます。本脆弱性は修正を適用していないすべての mem0 の配備実体に影響します。攻撃者は認証情報なしに遠隔から攻撃でき、データの機密性・完全性およびサービスの可用性を直接脅かします。
コンポーネント
mem0 は AI 応用に長期的な記憶管理能力を提供することを目的としたオープンソースの記憶層プロジェクトで、openmemory/api コンポーネントが記憶の保存、検索、管理のインターフェースを担います。
リスク
- データの完全な漏洩：攻撃者は任意の利用者の私的な記憶内容を読み取り、機微情報の漏洩を招きます
- データの改竄と破壊：攻撃者は利用者の記憶を任意に書き込み、あるいは削除してデータの完全性を損ないます
- サービス拒否：全体一時停止の機構を発火させることで、攻撃者はサービス全体を利用不能にし、すべての利用者に影響を与えられます
- 認証を要しない遠隔攻撃：攻撃者は本人認証なしにネットワーク経由で直接悪用でき、攻撃の敷居は極めて低いものです
出典
対処方法- API ゲートウェイまたはリバースプロキシの層で認証ミドルウェアを強制し、すべての経路が検証を要するようにしてください
- API のアクセスログを監視し、異常な未認証の要求と全体一時停止の操作を検出して遮断してください
CVE-2026-56843CVSS 9.9 超危険2026-07-08
WebPros Plesk の XML-RPC API 認可回避によりテナントをまたぐ資格情報漏洩とリモートコード実行に至る
WebPros Plesk の 18.0.78.4 より前のバージョンでは、XML-RPC API に認可の誤り（CWE-522）が存在します。所有権の検証が一部のクエリフィルタに対してのみ強制され、旧版のプロトコルではスキーマ検証が回避されるため、低い権限の認証済み顧客が自身の所有しないドメインを照会できます。これにより他のテナントが平文で保存している FTP の資格情報がテナントをまたいで漏洩し、攻撃者はこれを用いて他のテナントのシステム利用者としてコードを実行できます。本脆弱性は 18.0.78.4 へ更新していないすべての利用者に影響します。攻撃者は低い権限のアカウントを持つだけで脆弱性を発火でき、ネットワーク経由で遠隔から、利用者の操作なしに悪用できます。
コンポーネント
WebPros Plesk はウェブホスティング、メールサービス、データベース管理を簡便にする、広く利用されているウェブサイトおよびサーバー管理パネルです。
リスク
- テナントをまたぐデータ漏洩：攻撃者は他のテナントの平文 FTP 資格情報を取得でき、多テナント環境のデータ分離を著しく破壊します
- リモートコード実行：漏洩した資格情報を用いて、攻撃者は他のテナントのシステム利用者として任意のコードを実行し、影響を受けたテナントのサービスを完全に制御できます
- 権限昇格：低い権限の顧客アカウントから他のテナントのシステム利用者の権限へ昇格し、さらにサーバーの下層へ侵入する可能性があります
出典
対処方法- 認可ロジックの欠陥を修正するため、WebPros Plesk を直ちに 18.0.78.4 以降へ更新してください
- XML-RPC API のアクセス権限を見直して限定し、不要な旧版プロトコルの対応を無効にしてください
- 異常なドメイン照会の挙動と FTP のログイン試行を監視し、侵入検知システムを配備してテナントをまたぐアクセスの試みを検出してください
