--- title: "Eclipse Mnestix Browser の CVE-2026-89292: 認証なしでバックエンド API キーを持ち出される恐れ、CVSS v4.0 9.2" url: https://n-t-p.io/worldsecurity/articles/eclipse-mnestix-browser-backend-api-key-ssrf-cve-2026-89292 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月3日 updated: 2026年11月3日 severity: 緊急 cve: CVE-2026-89292 --- # Eclipse Mnestix Browser の CVE-2026-89292: 認証なしでバックエンド API キーを持ち出される恐れ、CVSS v4.0 9.2 > **TL;DR:** Eclipse Mnestix Browser 1.6.0 以上 2.3.0 未満に、認証なしで設定済みの全インフラの MNESTIX_BACKEND_API_KEY を持ち出せる脆弱性（CVE-2026-89292、CVSS v4.0 9.2）。NVD は未分析、KEV 掲載なし。2.3.0 以降へ更新し、キーの再発行を検討する。 **要点** - 認証なしの攻撃者が、設定済みの全インフラのバックエンド API キー（MNESTIX_BACKEND_API_KEY）を持ち出せる。CWE-522 と CWE-918 - CVSS v4.0 9.2（Secondary、AV:N/AC:L/AT:N/PR:N/UI:N）。認証不要かつ 9 以上のため critical。NVD は未分析（Received） - 対象は 1.6.0 以上 2.3.0 未満。更新に加え、キーの再発行と公開範囲の見直しが対策 - KEV 掲載なし、EPSS は公開直後で未算出。勧告本文・攻撃経路・実際の悪用は未確認 Eclipse Mnestix Browser に、認証なしの攻撃者が、設定済みの全インフラ（Infrastructures）の MNESTIX_BACKEND_API_KEY を持ち出せる脆弱性（CVE-2026-89292）が公開されました。CVSS v4.0 は 9.2（CRITICAL、AV:N/AC:L/AT:N/PR:N/UI:N）で、認証は不要です。対象は 1.6.0 以上 2.3.0 未満です。CISA KEV には掲載されておらず、EPSS は公開直後のため未算出です。 ## 概要 | 項目 | 内容 | |---|---| | CVE | CVE-2026-89292 | | 製品 | Eclipse Mnestix Browser | | 影響を受ける版 | 1.6.0 以上 2.3.0 未満（NVD の説明） | | 修正版 | 2.3.0 以降と読めるが、勧告本文は未確認 | | 問題 | 認証なしの攻撃者が、設定済みの全インフラの MNESTIX_BACKEND_API_KEY を持ち出せる。CWE は CWE-522（資格情報の不十分な保護）と CWE-918（サーバーサイド・リクエスト・フォージェリ） | | 攻撃条件 | ネットワーク経由、認証不要、ユーザー操作不要（CVSS ベクター） | | 影響 | 機密性への影響が大きい（脆弱なシステム・連携先とも High）。完全性・可用性への影響は None | | 悪用状況 | CISA KEV に掲載なし。実際の悪用は未確認 | ## 読むときの注意 - NVD の状態は Received で、NVD 自身の分析は済んでいません。CVSS の 9.2 は NVD 以外の採番機関（Secondary）の値です。 - 持ち出された API キーで、バックエンドの何ができるかは、NVD の記述からは分かりません。キーが流出した場合の被害範囲は、各環境の設定によって変わります。 - NVD の参照先は Eclipse のセキュリティ課題票です。題名に「サーバー操作（server actions）経由の認証なし SSRF」とありますが、攻撃手順の詳細は本記事では扱いません。 ## 対策 - Mnestix Browser を 2.3.0 以降へ更新する（修正版の版番号は NVD の記述からの読み取りで、勧告本文で確認できていない）。 - 更新前の版を使っていた期間がある場合は、MNESTIX_BACKEND_API_KEY を再発行して差し替える。キーが外部に持ち出された可能性を前提に扱う。 - Mnestix Browser をインターネットへ直接公開している場合は、ネットワーク制限や認証付きのプロキシで到達できる範囲を絞る。 - バックエンドのアクセスログに、想定外の送信元からの呼び出しがないか点検する。 ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | NVD の状態 | Received（2026-11-03 公開） | | CVSS v4.0 | 9.2（CRITICAL。NVD 掲載の Secondary の値。CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N） | | CWE | CWE-522、CWE-918 | | EPSS | 公開直後のため未算出（FIRST に該当データなし） | | KEV | 掲載なし（2026-11-03 時点） | | 出典 | NVD、Eclipse のセキュリティ課題票、FIRST、CISA KEV | ## 未確認の点 - 修正版の版番号と、ベンダー勧告本文の内容。 - 攻撃の具体的な経路と、持ち出した API キーで到達できる範囲。 - 実際の悪用の有無、標的、規模。 - NVD の分析結果によって CVSS の値が変わる可能性。 ## 出典 - [NVD CVE-2026-89292](https://nvd.nist.gov/vuln/detail/CVE-2026-89292) — NIST NVD - [Eclipse セキュリティ課題票（CVE 採番）](https://gitlab.eclipse.org/security/cve-assignment/-/work_items/302) — Eclipse Foundation - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-89292) — CISA - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-89292) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/eclipse-mnestix-browser-backend-api-key-ssrf-cve-2026-89292