N-Able PassPortal エクステンションの脆弱性 CVE-2026-15580 が FIX：パスワード・ボールト侵害の恐れ https://iototsecnews.jp/2026/08/21/critical-n-able-passportal-extension-flaw-gives-attackers-full-password-vault-access/ パスワード管理ツール N-able PassPortal のブラウザ・エクステンションにおいて、クロス・コンテキスト通信時の送信元の検証不足に起因する重大な不具合が判明しました。攻撃者が用意した Web ページや iframe を経由し、エクステンションのメッセージ制御機構が悪用される構造です。この影響により、最長 100 日間有効なセッション用トークンが外部へ露出する危険がありました。トークンを奪取されると、保管庫内データの閲覧や改ざん、TOTP コードの不正取得といった不正操作へ直結します。運用環境における被害を防ぐ対応策として、拡張機能のバージョン 3.49.6 への速やかな更新／最新化状態の確認／不審な保管庫アクセスログの監視が強力に求められます。 #CVE202615580 #NAble #PassPortal #Vulnerability
Post summary
The post announces a critical CVE‑2026‑15580 in the N‑Able PassPortal extension, details the vulnerability and impact, and urges users to update to v3.49.6 or later to mitigate the risk.