CVE-2026-61730

要約

SOCFortress CoPilotの影響を受ける環境では、backend/copilot.py の認証なしの /scoutsuite-report StaticFiles マウントが scoutsuite-report ディレクトリを公開しており、通常の /api ルートは JWT 認証を必要とします。生成された HTML レポートや結果の JS ファイルには、AWS・Azure・GCP の IAM プリンシパル、リソース一覧、設定不備、検出結果が含まれ、GCP スキャン中にはアップロードされたサービスアカウントの JSON キーが同じディレクトリに保存され、スキャン完了後にのみ削除されます。認証情報の分離はバージョン 0.1.77 でリリースされましたが、レポート開示部分を完全に修正するリリースは確認されていません。

AI による要約です(公式発表の本文から作成)。

関連(タグ)

SOCFortress CoPilotStaticFilesJWTAmazon Web ServicesMicrosoft AzureGoogle Cloud Platform

このタグの新着を RSS で受け取る: SOCFortress CoPilot / StaticFiles / JWT / Amazon Web Services / Microsoft Azure / Google Cloud Platform(使い方)

判定の理由

• CVSS 9.0 以上

出典

公式発表を見る