JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-007598 Idnoはソーシャルパブリッシングプラットフォームです。バージョン1.6.4以前では、API認証フローのロジックエラーにより、URLアンフルサービスエンドポイントのCSRF保護が未認証のリモート攻撃者によって容易に回避されていました。エンドポイント自体にログイン要件がないことと相まって、攻撃者はサーバーに任意の宛先（内部ネットワークアドレスやクラウドインスタンスのメタデータサービスを含む）への任意のアウトバウンドHTTPリクエストを強制的に実行させ、その応答内容を取得できるようになっていました。この問題はバージョン1.6.4で修正されました。 cpe:/a:withknown:known https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-007598.html Common Vulnerabilities and Exposures (CVE) CVE-2026-28508 https://www.cve.org/CVERecord?id=CVE-2026-28508 National Vulnerability Database (NVD) CVE-2026-28508 https://nvd.nist.gov/vuln/detail/CVE-2026-28508 GitHub Security Vulnerability Report: Unauthenticated SSRF via URL Unfurl Endpoint in Idno Advisory idno/idno GitHub https://github.com/idno/idno/security/advisories/GHSA-fcrh-fqxh-6fx6 JVNDB CWE-918 https://cwe.mitre.org/data/definitions/918.html 関連文書 Release 1.6.4 idno/idno GitHub https://github.com/idno/idno/releases/tag/1.6.4 2026-03-18T13:25:39+09:00 2026-03-18T13:25:39+09:00