プリザンターのLDAP認証に不備、パスワードなしでログインのおそれ

業務アプリを作る国産ツール、プリザンターの LDAP 認証に、特定の構成でパスワードを確かめずにログインを許す脆弱性が見つかりました。1.5.9.1 で修正されており、クラウド版は対象外です。

脆弱性の概要

注意CVSS6.9

影響を受ける製品
製品	対象のバージョン	修正版
プリザンター（Community / Enterprise）	1.1.0.0〜1.5.9.0（LDAP 認証の特定の構成）	1.5.9.1 以降

やること

プリザンターは現場の担当者が業務アプリを作れるオープンソースのツールです。自社で動かしていて LDAP 認証（Active Directory などの社内のユーザー情報でログインする仕組み）を使っている場合は、下の「対象」に当てはまるかを確かめてください。

当てはまるなら 1.5.9.1 以降へ更新してください。10月13日に出た 1.5.9.0 にはこの修正が入っていません。更新が難しい場合は開発元に相談してください。

インプリムと JVN は10月23日に CVE-2026-113438 を公表しました。細工した要求を認証処理へ送ると、接続先の設定によってはパスワードを確かめないまま認証に成功します。通常のログイン画面の操作では起こりません。

有効なログイン ID を知る第三者がそのユーザーとしてログインし、情報を見たり書き換えたり消したりするおそれがあります。ログイン画面にアクセスできる人なら、特別な権限がなくても悪用できます。

CVSS は v4.0 で 6.9、v3.0 で 6.5 です。開発元と JVN の公表に悪用の記載はありません。

Community Edition と Enterprise Edition のどちらも、バージョン 1.1.0.0 から 1.5.9.0 までで次の2つを両方満たす場合が対象です。

ローカル認証、SAML 認証、パスキー認証、二段階認証、統合 Windows 認証は影響を受けません。LDAP とローカルを併用している場合は、LDAP でログインするユーザーだけが対象です。クラウド版の Pleasanter.net とプライベートクラウドは対象外です。

自社で確かめること

認証の設定を確かめるAuthentication.json の Provider を確認してください。LDAP または LDAP+Local なら、LDAP 認証を使っています。

構成の組み合わせを確かめるLinux や Docker で動かしているか、Windows で DsProvider に Novell を指定している環境で、接続先が Active Directory か匿名バインドを許可する OpenLDAP などなら該当します。

ログインの記録を見る外からアクセスできる環境では、身に覚えのないログインやデータの変更がないかを確認してください。

自社で確かめるのが難しい場合はCyberScope のセキュリティ診断（3万円から）