Insomnia API Client Vulnerability Enables Arbitrary Code Execution via Template Injection
2025/06/20 gbhackers — API インタラクションにおいて、開発者やセキュリティ・テスターが多用するツール Insomnia API Client に、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2025-1087 (CVSS：9.3) を悪用する攻撃者は、CSTI (Client-Side Template Injection) を通じて任意のコード実行の可能性を得る。Insomnia が使用する Nunjucks テンプレート・エンジンが、信頼できない入力を適切に処理できていないことに、この脆弱性は起因するものであり、2025年6月時点での最新バージョン 11.2.0 でも修正されていない。
Continue reading “Insomnia API の脆弱性 CVE-2025-1087：任意のコード実行の可能性とパッチ・バイパスの現状”CVE-2025-1087: Critical Template Injection in Insomnia API Client Enables Remote Code Execution
2025/05/13 SecurityOnline — Kong が提供する人気の OSS API クライアント Insomnia に存在する、深刻な脆弱性 CVE-2025-1087 (CVSS：9.3) を悪用する攻撃者は、影響を受けるシステム上で任意のコード実行の可能性を得るという。したがって、REST／GraphQL／WebSocket／SSE／gRPC エンドポイントとのインタラクションにおいて、Insomnia を利用する開発者／テスター／DevOpsチームにとって、この脆弱性は重大なリスクとなる。
Continue reading “Insomnia API Client の脆弱性 CVE-2025-1087 が FIX：不十分な入力検証が引き起こす RCE”High-Severity Vulnerabilities in Bruno API Client Expose Users to Potential RCE
2025/04/03 SecurityOnline — Bruno プロジェクトが公表したセキュリティ・アドバイザリは、Bruno API クライアントに存在する深刻な脆弱性を明らかにするものであり、信頼できないソースからのコレクションをインポートする際のリスクを強調している。ファイル・システム上のフォルダに、コレクションをダイレクトに保存する Bruno は、プレーン・テキスト・マークアップ言語である Bru を用いて、API リクエストに関する情報を保存する。この方式は、Postman などのツールに代表される現状を刷新する、革新的な API クライアントとして位置付けられている。
Continue reading “Bruno API Client の脆弱性 CVE-2025-30354／30210 が FIX：RCE などの恐れ”
IoT OT Security News 