kaminuma

Full-stack Developer 🖥️ | Security Researcher (Web, OSS, Crypto) | Bug Hunter

[kaminuma @kaminuma_dev]

3 WordPress Core vulnerabilities I reported were fixed in 6.9.2 security release:

・Stored XSS (Interactivity API)
・PclZip Path Traversal
・Notes Authorization Bypass

https://t.co/QDtskesPJL

#WordPress #Security

[kaminuma @kaminuma_dev]

@ryotkak Github Actions経由は盲点でしたmm
記事読みました。とても勉強になります。

[kaminuma @kaminuma_dev]

AIがやらかすコードの話で、JWTとLocalStorageの話が出てましたが、似たようなので

MVPとかで、未認証local accountが作れる状態GoogleAuthを後付けするとき

User user = findByEmail(googleEmail);

みたいな同じemail=同じユーザーでmergeして
Pre-Account Takeover系もわりと踏みやすい気がする

[kaminuma @kaminuma_dev]

betaでリサーチ入れてませんでしたが、

私生活が落ち着いたらリサーチャーとしてWordPressCoreの脆弱性調査に引き続き入ろうと思います。

[WordPress @WordPress]

WordPress 7.0 “Armstrong” is here. 🎷

This major release introduces foundational AI tools, a refreshed admin experience, expanded design controls, new blocks, and powerful developer APIs.

Explore what’s new, update when you’re ready, and start building with WordPress 7.0 today. https://t.co/0aF3CG0WOt

[yousukezan @yousukezan]

20万超のWordPressサイトに影響する重大脆弱性がBurst Statisticsプラグインで見つかった。認証不要で管理者になりすませる欠陥で、攻撃者は新規管理者アカウント作成やサイト完全乗っ取りを実行できる。

問題はCVE-2026-8181で、CVSSは9.8。対象はBurst Statistics 3.4.0〜3.4.1.1で、MainWP連携機能の認証処理に不備があった。HTTP Authorizationヘッダー経由の認証時、wp_authenticate_application_password()の戻り値検証が不十分で、認証失敗時に返るnullを正常扱いしてしまう。

攻撃者は有効な管理者ユーザー名と任意パスワードをBasic認証ヘッダーへ設定し、細工したREST APIリクエストを送るだけで管理者権限を取得可能だ。例えば/wp-json/wp/v2/usersを悪用すれば、新たな管理者アカウントを追加し永続的アクセスを確保できる。影響はREST API全体に及ぶため、WordPress本体機能も悪用対象となる。

脆弱性は2026年5月8日にWordfenceのAI脅威分析基盤「PRISM」が発見し、5月12日に修正版3.4.2が公開された。利用者には即時更新とユーザー監査、ログ確認が推奨されている。

https://t.co/cGa9pghqEM

[kaminuma @kaminuma_dev]

A vulnerability I reported to Strapi is now public:

CVE-2026-22707

Thanks to the maintainers for the fix and disclosure.

Advisory:
https://t.co/NID2atcLd0

#CVE #AppSec #Security #Strapi

[kaminuma @kaminuma_dev]

@Pochix1103 ただreconとかAPIを制限化で叩いてる時なんかは、
ある意味のストッパーとして警告だしてくれるのは、セーフティーにやる立場としては嬉しいかもしれませんw

[kaminuma @kaminuma_dev]

ClaudeCodeのサイバー認証プログラム(CVP)の申請、
普通に通っていました。
結果は登録しているメールアドレスに届くみたいでした！

[kaminuma @kaminuma_dev]

@Pochix1103 よかったです！！
制限が多いと結構大変なので、
CVPはとりあえず通るなら通した方がいいって感じはありますね。

それでも調査してるなかでガードレールかかったので、4.7前よりはかなり厳しめに判定はしているような気はします。

[kaminuma @kaminuma_dev]

@nianiaa_111 @ockeghem ありがとうございます！
mailにて確認しました！

[kaminuma @kaminuma_dev]

@francecarlucci Hi @francecarlucci
Have you confirmed that the PclZip path traversal vulnerability we discovered has been identified as a CVE?

Some media outlets have published the CVE number, but NIST hasn't confirmed it.

[kaminuma @kaminuma_dev]

3 WordPress Core vulnerabilities I reported were fixed in 6.9.2 security release:

・Stored XSS (Interactivity API)
・PclZip Path Traversal
・Notes Authorization Bypass

https://t.co/QDtskesPJL

#WordPress #Security

[kaminuma @kaminuma_dev]

@francecarlucci Apparently so 😄

Nice catch on your side too! Appreciate it.

[Cyber Security News @The_Cyber_News]

⚠️ Critical Apache HTTP Server Flaw Exposes Millions of Servers to RCE Attacks

Source: https://t.co/nyaOOtouZa

The Apache Software Foundation has released a critical security update for Apache HTTP Server, patching five vulnerabilities, including a dangerous double-free flaw capable of enabling Remote Code Execution (RCE) in version 2.4.67, released on May 4, 2026.

All users running version 2.4.66 or earlier are strongly urged to upgrade immediately. The most severe of the five vulnerabilities is CVE-2026-23918, rated High with a CVSS base score of 8.8.

The flaw is a double-free memory corruption bug triggered within Apache's HTTP/2 protocol implementation during an "early stream reset" sequence.

#cybersecuritynews #vulnerability

[yousukezan @yousukezan]

ゴールデンウイークだからといって羽目を外して倫理について好き放題書いたり倫理観のないアプリを作って公開するとすべからく会社に怒られたり最悪クビになったりするので今の生活が大切な大人は思ってても書かないように自制しましょうね

[kaminuma @kaminuma_dev]

A vulnerability I reported to Craft CMS is now public:

CVE-2026-41128

Thanks to the maintainers for the fix and disclosure.

Advisory:
https://t.co/0WZzQ1gxVg

#CVE #AppSec #Security #CraftCMS

[yousukezan @yousukezan]

Axiosに深刻な脆弱性が見つかり、依存関係に潜むPrototype Pollutionを足掛かりに、リモートコード実行やクラウド侵害へ発展する可能性があることが判明した。特にAWS環境への影響が懸念される

CVE-2026-40175は、ブラウザおよびNode.jsで広く利用されるHTTPクライアントAxiosに存在する重大な欠陥である。CVSSスコアは10と最大値で、Axios 1.15.0未満のバージョンが影響を受ける。この問題の本質は、Axios内部に存在する「ガジェットチェーン」にあり、単体で脆弱性を生むのではなく、サードパーティ依存関係に存在するPrototype Pollutionを強力に増幅させる点にある。

攻撃者はまず別の依存ライブラリにおけるPrototype Pollutionを成立させ、その後Axiosの処理経路を通じて汚染されたプロパティを悪用する。この連鎖により、本来は限定的な影響にとどまる汚染が、実行フローの制御へと発展し、最終的にリモートコード実行やAWS IMDSv2の回避といった深刻な結果を引き起こす可能性がある。

現時点で具体的なPoCは公開されていないが、Axiosがオブジェクトや設定値をどのように扱うかの解析が攻撃成立の鍵となる。特定の条件下でガジェットチェーンが発火する仕組みの解明が、実証や防御策の確立において重要とされる。
https://t.co/cNjwk8p09I

[kaminuma @kaminuma_dev]

Two vulnerabilities I reported to baserCMS are now public:

CVE-2026-21861
CVE-2026-30940

Thanks to the maintainers for the fix and disclosure.

Advisory:
https://t.co/WjZpkOE7Mb

#CVE #AppSec #Security

[kaminuma @kaminuma_dev]

状態がいい時には、
活動は少し無理をしても興味のある部分に絡めてやっていきましょう。

ということで発信だったり調査をやってみているけど、

実際のところ
なかなか先が思いやられるな・・・

という感じがかなりしてます。。。

[yousukezan @yousukezan]

[セキュリティ]〇〇DoS攻撃、全部わかるかな？｜くみねこ https://t.co/zegOzeunft #zenn

[kaminuma @kaminuma_dev]

curlはとても色々できる❗

【保存版】バグバウンティ実践者のための curl ― 偵察からPoC構築まで
https://t.co/7iJt8ERtBu

#Security #脆弱性診断

[kaminuma @kaminuma_dev]

Reconは大事