vtenext 25.02.1 より前の CVE-2025-71457: hub/rpwd.php のトークン未検証で、認証なしにパスワードを変更され管理者としてログインされる恐れ（CVSS 9.3）

vtenext 25.02 の 25.02.1 より前の版に、パスワード再設定用の hub/rpwd.php がトークンを確かめないまま変更を受け付ける欠陥（CVE-2025-71457）が登録されました。NVD への登録は 2026-11-04 で、NVD 自身の評価はまだありません。

何が起きるか

• 有効な user_name（ユーザー名）を知っている攻撃者が、RecoverPwd::displayChangePwd() に action=change_password を送ると、トークンの確認なしで任意のアカウントのパスワードを変えられるとされています。
• 二要素認証を設定していない管理者アカウントでは、そのままログインされる恐れがあります。
• ログインも利用者の操作も要らず、ネットワーク越しに実行できる評価です（AV:N/AC:L/AT:N/PR:N/UI:N）。

数値と severity

• CVSS v4.0: 9.3（CRITICAL）。付けたのは VulnCheck（NVD 上は Secondary）です。ベクターは CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N。
• CWE-620（パスワード変更時の旧パスワード確認不足）。
• 認証不要で CVSS 9 以上のため、severity は critical とします。
• CISA の KEV への掲載はありません（確認時点）。EPSS は未算出で、実際の悪用の有無は未確認です。

対策

• 25.02.1 で修正されたと読み取れます（NVD の記述による）。ベンダーのリリースノートは開いておらず、修正の中身は未確認です。
• 該当の版を使っている場合は、25.02.1 以降へ更新してください。
• 更新できるまでは、管理者を含む全アカウントに二要素認証を設定し、管理画面への接続元を絞ることが一般的な備えになります（ベンダーの指示ではありません）。

未確認の点

• 修正の中身、悪用の有無、攻撃コードの有無、EPSS。
• NVD の参照先には、vtenext 25.02 で複数の欠陥を連ねてコード実行に至る手順の解説記事が含まれますが、本稿では開いておらず、内容は未確認です。
• NVD の最終評価。

出典

• NVD: CVE-2025-71457
• VulnCheck の勧告（NVD の参照先。未取得）
• vtenext 25.02.1 リリースノート（NVD の参照先。未取得）