脆弱性の一覧へ戻る
編集部の見出し：TYPO3 拡張 sf-register：検証なしのリンクで任意ユーザーのアカウントを操作・削除可能
NVD の情報
The actions linked in the emails of the extension (e.g. to confirm a registration or the deletion of an account) do not reject requests with a missing or invalid hash. Instead, the frontend user given in the request is used. Unauthenticated attackers can therefore perform these actions for arbitrary active frontend users. This allows them to retrieve the email address or username of all frontend users and to delete arbitrary frontend user accounts.
- 公開日
- 2026-11-03
- 最終更新（NVD）
- 2026-11-03
- NVD の状態
- Deferred
- 脆弱性の種類
- CWE-639
深刻度（CVSS）
- 8.8 HighCVSS 4.0／副／評価：f4fb688c-4412-4426-b4b8-421ecf27b14a
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
悪用の状況
CISA KEV には掲載されていません（掲載されていないことは、悪用されていないことの証明ではありません）。
EPSS：今後30日に悪用される推定確率 0.39%（全体の上位 67.1%、評価日 2026-11-04）
解消方法
- 解消方法の情報なし
「NVD の条件から推定」は、NVD が影響ありとする版の上限から読み取ったもので、修正版とは限りません。「解消方法の情報なし」は、修正が無いという意味ではありません。必ずベンダーの公告で確認してください。
編集部の記載（レポート掲載時）
レポートの編集部がベンダー公告などから転記した内容です。検証済みの値ではないため、必ず出典で確認してください。
2026-11-03 のレポートTYPO3 拡張 sf-register：検証なしのリンクで任意ユーザーのアカウントを操作・削除可能
4.0で8.8（Secondary）。14.0.0以上14.0.3未満と13.2.5未満。修正版は14.0.3と13.2.5（NVDの記載）。公告はtypo3-ext-sa-2026-038。
悪用状況（編集部）：不明
参照（NVD）
NVD から取得：2026-11-05T12:00:51.917Z／EPSS 評価日：2026-11-04
This product uses the NVD API but is not endorsed or certified by the NVD.
悪用の確認情報は CISA Known Exploited Vulnerabilities Catalog（NVD 経由で取得）によります。EPSS は FIRST（www.first.org/epss）によります。