「スタディサプリ」に不具合 - 他利用者としてアクセス可能に

リクルートの個人向けオンライン学習サービス「スタディサプリ 中学講座」のブラウザ版に、関係ない別の利用者としてログイン状態となる不具合が複数存在したことがわかった。

同社によれば、同サービスにおいてアクセストークンの取り扱いに不備があり、本来の利用者とは異なる利用者としてアクセスが行われる複数の不具合が明らかとなったもの。

8月10日に保護者から問い合わせがあり、調査を行ったところ、一部ページへアクセスすると、ログイン時に割り当てられるアクセストークンに問題があり、他利用者としてログインする状態となっていることが同月22日にわかった。

同不具合へ対策を講じた上でさらに調査を進めたところ、ログアウト操作やパスワードリセットを行っても、アクセストークンが正しく削除されないため、特定のログアウト操作を行わないかぎり正しくログアウトできず、ログインした状態のままとなることが同月29日に判明。複数の利用者で同じ端末を利用する場合などに影響を受ける。

これら不具合により、異なる利用者によって登録されている学校やプロフィール、学習履歴などを閲覧されたり、変更されるおそれがあった。閲覧できる情報に氏名やメールアドレス、クレジットカード情報などは含まれていないとしている。

（Security NEXT - 2022/09/09 ） ツイート

PR

関連記事

HPのLinux向け印刷ソフトに深刻な脆弱性 - アップデートを呼びかけ
「Unbound」に深刻な脆弱性 - コード実行やキャッシュ汚染などのおそれ
PHP向けテンプレートエンジン「Twig」にRCE脆弱性
米当局、「Langflow」や「Apex One」の脆弱性悪用に注意喚起
SNS公開のインタビュー動画に患者が映り込み - 大田記念病院
成人祝賀イベントの参加者向けメールで誤送信 - 酒田市
米当局、脆弱性悪用確認リストに7件追加 - IEなど旧製品関連も
「Microsoft Defender」に権限昇格やDoS脆弱性 - 悪用を確認
「TrendAI Apex One」に複数脆弱性 - 一部はすでに悪用
海外グループ会社にサイバー攻撃、業務影響は解消 - 近鉄エクスプレス