CVE-2026-121802

🆕 New CVE better-auth Better Auth: account takeover in mobile app authentication library (CVE-2026-121802) A remote, unauthenticated attacker can take over accounts, such as by changing any user's email address. Patch → 1.7.16 https://cve.now/CVE-2026-121802?utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=critical

⚠️ CVE-2026-121802 (9.1) ⚠️ better-auth's Expo plugin lets an attacker change any account's email address without signing in. Versions before 1.7.16 are affected. Upgrade to 1.7.16. https://t.co/tLRRIpMSY5

https://pwn.watch/i/better-auth-expo-account-takeover-cve-2026-121802

Better Auth CVE-2026-121802 (CVSS 9.1): the @better-auth/expo plugin lets an unauthenticated attacker take over accounts. VulnTracker recommends updating to 1.7.16 and rotating your app secret. Or remove the expo() plugin if you don't use Expo sign-in. Details: http://vulntracker.io/cves/CVE-2026-121802 #BetterAuth #AppSec #InfoSec

【11/4 昼】CVE・脆弱性ニュースまとめ ■国内 ① Airbyte「Airbyte（データ連携基盤、セルフホスト版）」：Connector Builder経由で任意のコードを実行されうる脆弱性、JVNが「悪用を確認」と記載（CVSS v4.0 8.7／v3.0 8.8、CVE番号はJVN公表時点で記載なし） JVNが4日、さまざまなサービスのデータを集約するオープンソースの連携基盤Airbyteについて、任意のコードを実行されうる脆弱性を公表し、「本脆弱性の悪用が確認されています」と記載しました。コネクターを作るConnector Builderに送る設定ファイルで、読み込めるPythonのクラスが制限されておらず、危険なコードの実行を無効にしている設定でも、コンテナ内でコマンドを実行されてしまう問題です。Airbyteの勧告によると、2.x系では閲覧権限（Workspace ReaderやOrganization Reader）以上のアカウントがあれば悪用でき、旧Helmチャートで動かしている1.x系では、ネットワークで届くだけでログインなしに悪用できてしまうとしています。JVNは1.7.0〜2.1.0を対象としており、2.2.0で修正されていますが、1.x系には修正版が出ないため2.2.0以降への移行が必要です。すぐに更新できない場合は、Connector Builder（Manifest Server）にAirbyteのサーバー以外から通信できないようにし、閲覧権限を信頼できる人に絞ってください。なお、クラウド版のAirbyte Cloudは対応不要とされています。この脆弱性は株式会社ZOZOの兵藤壮泰氏がIPAに届け出たものです。 出典：JVN https://jvn.jp/jp/JVN12040144/ 出典：Airbyte（GitHub） https://github.com/airbytehq/airbyte/security/advisories/GHSA-g35w-6r6v-h4r7 出典：Airbyte https://docs.airbyte.com/release_notes/self-managed/v-2.2 ■海外 ② Zyxel「GS1900シリーズ（スマートスイッチ）」（続報）：実際の攻撃で使われていた未知の脆弱性だったと、発見者のBinarlyが報告（CVE-2026-107441、CVSS v3.1 8.8） 3日に取り上げた、LAN内からログインなしでOSコマンドを実行されうるGS1900シリーズの脆弱性について、発見したセキュリティ企業Binarlyが、攻撃者のサーバーに置かれていた攻撃コードを調べる中で見つけたものだと報告しました。Binarlyによると、この攻撃コードは、9月に米CISAがKEVに追加した別の脆弱性（CVE-2026-7273）を修正したファームウェアでもそのまま動き、これまでの修正では被害を防げていなかったとしています。攻撃者はLinux向けのバックドア「JITTERLY」を使う集団だとしています。CISAは現時点でCVE-2026-107441をKEVに追加していません。修正版は各機種のファームウェア2.90の「.3」版（例：GS1900-24Eは2.90(AAHK.3)C0）です。修正前に管理画面が信頼できないネットワークから届く状態だった機器は、侵害されている可能性も考えて確認することをおすすめします。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-107441 出典：Zyxel https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-out-of-bounds-write-vulnerability-in-gs1900-series-switches-11-03-2026 出典：Binarly https://www.binarly.io/blog/zyxel-gs1900-rce-cve-2026-107441 出典：SecurityOnline https://securityonline.info/zyxel-gs1900-zero-day-cve-2026-107441/ ③ NoMachine「NoMachine（リモートデスクトップ）」：Webアクセス機能に、ログインなしでコードを実行されうるヒープバッファオーバーフロー（CVE-2026-114549、CVSS v3.1 9.8） リモートワークや社外からの保守に使われるNoMachineで、ブラウザから接続するためのWebサービス（nxwebrunner、初期設定ではTCP 4443番ポート）に、受け取ったデータの長さを確認しない問題があることが、CVEとして登録されました。発見を公表したZDIによると、ログインしていない遠隔の攻撃者が、サービスの権限で任意のコードを実行できてしまうおそれがあります。NoMachineは10.1.7、9.9.6、8.27.1で修正したとしています。ZDIの公表は10月22日でしたが、CVEの記録は3日（米国時間）に公開されました。現時点で悪用の報告は確認できていません。Webアクセスを有効にしている場合は、更新と、4443番ポートをインターネットに公開していないかの確認をしてください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-114549 出典：NoMachine https://kb.nomachine.com/TR07X11893 出典：ZDI https://www.zerodayinitiative.com/advisories/ZDI-26-786/ ④ Quest「Foglight for Databases（データベース監視）」：ログインなしでSYSTEM権限のコードを実行されうる脆弱性3件など（CVE-2026-92188・CVE-2026-92189・CVE-2026-92190、いずれもCVSS v3.1 9.8） データベースの稼働状況や性能を監視するFoglight for Databasesについて、ZDIが3日（米国時間）、16件の脆弱性をまとめて公表しました。このうちCVE-2026-92188は管理機能の認証が欠けている問題、CVE-2026-92189はファイルの保存先を外から指定できてしまう問題、CVE-2026-92190は信頼できないデータを読み込んでしまう問題で、いずれもログインなしに、WindowsのSYSTEM権限で任意のコードを実行されるおそれがあります。対象としてCVEの記録には8.2.0が挙げられており、ZDIは「Foglight 8.3で修正」としています。残りの13件も、ログイン後のコード実行などCVSS 6.5〜8.8の問題です。現時点で悪用の報告は確認できていません。監視サーバーには多くのデータベースの接続情報が集まるため、早めの更新を検討してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-92188 出典：ZDI https://www.zerodayinitiative.com/advisories/ZDI-26-854/ 出典：ZDI https://www.zerodayinitiative.com/advisories/ZDI-26-851/ ⑤ Better Auth「Better Auth（Webアプリ向け認証ライブラリ）」：Expo連携プラグインの不備で、メールアドレスを知るだけでアカウントを乗っ取られうる脆弱性（CVE-2026-121802、CVSS 9.1） JavaScript向けの認証ライブラリBetter Authで、スマホアプリ開発基盤Expoと連携するためのプラグイン（expo）が、サーバーが発行していない値にもアプリの秘密鍵で署名を付けてしまう問題が公表されました。開発元によると、ログインしていない攻撃者が利用者のメールアドレスを知っていれば、その利用者としてログインし、登録メールアドレスを書き換えられるおそれがあります。対象はexpoプラグインを使っている構成で、better-authと関連パッケージを1.7.16（ベータ版は1.8.0-beta.5）に更新することで修正されます。更新後も、修正前に発行された署名は秘密鍵を変えるまで有効なままのため、秘密鍵の入れ替えも必要とされています。現時点で悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-121802 出典：Better Auth（GitHub） https://github.com/better-auth/better-auth/security/advisories/GHSA-4wq4-2ppv-q3hg ■注意点 ・米CISAのKEVには、3日のWordPress本体（CVE-2026-119977）以降、新しい追加はありません。 ・ASUSが4日、PC向けユーティリティのArmoury Crate（CVE-2026-110464）とSystem Control Interface（CVE-2026-112116、CVSS 8.5）、ルーターのAiCloud機能（CVE-2026-84730、CVSS 8.7）などの脆弱性を公表しました。いずれもローカルや近くにいる攻撃者が前提ですが、ASUS製のPCやルーターを使っている場合は更新を確認してください。 ・JVNでは4日、Joomla向け拡張のAkeeba製品のCSRFや、医療画像システムINFINITT PACSの脆弱性も公表されています。 #脆弱性 #CVE #サイバーセキュリティ