JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-017433 Apache Shiroのデフォルト設定では、HTTPSセッションにおいてセンシティブなクッキーが「Secure」属性なしで送信されます。この問題はApache Shiroのバージョン1.0から2.1.0および3.0.0-alpha-1に影響します。ユーザーは問題を修正したバージョン2.1.1または3.0.0-alpha-2以降にアップグレードすることを推奨します。影響を受けるバージョンでは、Shiro独自のセッションマネージャーとRemember-MeマネージャーがデフォルトでJSESSIONIDおよびrememberMeクッキーを「Secure」属性なしで送信してしまいます。 cpe:/a:apache:shiro https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-017433.html Common Vulnerabilities and Exposures (CVE) CVE-2026-43828 https://www.cve.org/CVERecord?id=CVE-2026-43828 National Vulnerability Database (NVD) CVE-2026-43828 https://nvd.nist.gov/vuln/detail/CVE-2026-43828 Apache Shiro Security Reports | Apache Shiro https://shiro.apache.org/security-reports.html#cve_2026_43828 JVNDB CWE-614 https://cwe.mitre.org/data/definitions/614.html Openwall mailing list archives oss-security - CVE-2026-43828: Apache Shiro: Shiro's native session and rememberMe cookies do not have secure flag set by default http://www.openwall.com/lists/oss-security/2026/05/25/7 2026-06-03T15:39:16+09:00 2026-06-03T15:39:16+09:00