検索NeSC を見る
脆弱性・CVE速報深刻度: 緊急

Eclipse Mnestix Browser の CVE-2026-89292: 認証なしでバックエンド API キーを持ち出される恐れ、CVSS v4.0 9.2

World Security 編集部
AI 支援あり
目次（5）

CVE-2026-89292

Eclipse Mnestix Browser に、認証なしの攻撃者が、設定済みの全インフラ（Infrastructures）の MNESTIX_BACKEND_API_KEY を持ち出せる脆弱性（CVE-2026-89292）が公開されました。CVSS v4.0 は 9.2（CRITICAL、AV:N/AC:L/AT:N/PR:N/UI:N）で、認証は不要です。対象は 1.6.0 以上 2.3.0 未満です。CISA KEV には掲載されておらず、EPSS は公開直後のため未算出です。

概要

項目内容
CVECVE-2026-89292
製品Eclipse Mnestix Browser
影響を受ける版1.6.0 以上 2.3.0 未満（NVD の説明）
修正版2.3.0 以降と読めるが、勧告本文は未確認
問題認証なしの攻撃者が、設定済みの全インフラの MNESTIX_BACKEND_API_KEY を持ち出せる。CWE は CWE-522（資格情報の不十分な保護）と CWE-918（サーバーサイド・リクエスト・フォージェリ）
攻撃条件ネットワーク経由、認証不要、ユーザー操作不要（CVSS ベクター）
影響機密性への影響が大きい（脆弱なシステム・連携先とも High）。完全性・可用性への影響は None
悪用状況CISA KEV に掲載なし。実際の悪用は未確認

読むときの注意

  • NVD の状態は Received で、NVD 自身の分析は済んでいません。CVSS の 9.2 は NVD 以外の採番機関（Secondary）の値です。
  • 持ち出された API キーで、バックエンドの何ができるかは、NVD の記述からは分かりません。キーが流出した場合の被害範囲は、各環境の設定によって変わります。
  • NVD の参照先は Eclipse のセキュリティ課題票です。題名に「サーバー操作（server actions）経由の認証なし SSRF」とありますが、攻撃手順の詳細は本記事では扱いません。

対策

  • Mnestix Browser を 2.3.0 以降へ更新する（修正版の版番号は NVD の記述からの読み取りで、勧告本文で確認できていない）。
  • 更新前の版を使っていた期間がある場合は、MNESTIX_BACKEND_API_KEY を再発行して差し替える。キーが外部に持ち出された可能性を前提に扱う。
  • Mnestix Browser をインターネットへ直接公開している場合は、ネットワーク制限や認証付きのプロキシで到達できる範囲を絞る。
  • バックエンドのアクセスログに、想定外の送信元からの呼び出しがないか点検する。

数値と出典（2026-11-03 時点）

項目内容
NVD の状態Received（2026-11-03 公開）
CVSS v4.09.2（CRITICAL。NVD 掲載の Secondary の値。CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N）
CWECWE-522、CWE-918
EPSS公開直後のため未算出（FIRST に該当データなし）
KEV掲載なし（2026-11-03 時点）
出典NVD、Eclipse のセキュリティ課題票、FIRST、CISA KEV

未確認の点

  • 修正版の版番号と、ベンダー勧告本文の内容。
  • 攻撃の具体的な経路と、持ち出した API キーで到達できる範囲。
  • 実際の悪用の有無、標的、規模。
  • NVD の分析結果によって CVSS の値が変わる可能性。

この記事について

AI の利用
本記事は AI が NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-03）のもので、未確認の点は本文に明記しています。

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事