製品・ソフトウェアに関する情報
Vulnerability Search
cryptomatorにおける複数の脆弱性
Title cryptomatorにおける複数の脆弱性
Summary

Cryptomatorはクラウドストレージ向けのオープンソースのクライアントサイド暗号化アプリケーションです。バージョン1.19.1にはCheckHostTrustController.getAuthority()のロジックに欠陥があり、このメソッドはポート番号に基づいてURIスキームをハードコードしているため、ポート80のHTTPS URLがHTTP URLと同じオーソリティ文字列を生成し、一貫性チェックとHTTPブロック検証の両方を無効化します。クラウド同期されたvault.cryptomatorファイルへの書き込み権限を持つ攻撃者は、apiBaseUrlとauthEndpointにポート80のHTTPSを使用しながら自動信頼検証を回避し、tokenEndpointにはプレーンテキストのHTTPを使用するHub構成を作成可能です。これにより、ユーザーの警告なしにボールトが自動的に信頼され、ネットワーク経由の攻撃者がOAuthトークン交換を傍受して被害者になりすまし、Cryptomator Hub APIにアクセスできる恐れがあります。この問題はバージョン1.19.2で修正されました。

Possible impacts 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 
Solution

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Publication Date April 16, 2026, midnight
Registration Date April 24, 2026, 11:30 a.m.
Last Update April 24, 2026, 11:30 a.m.
CVSS3.0 : 警告
Score 4.8
Vector CVSS:3.0/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:N/A:N
Affected System
cryptomator
cryptomator 1.19.2 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
No Changed Details Date of change
1 [2026年04月24日]
  掲載		 April 24, 2026, 11:30 a.m.
NVD Vulnerability Information
CVE-2026-33472
Summary

Cryptomator is an open-source client-side encryption application for cloud storage. Version 1.19.1 contains a logic flaw in CheckHostTrustController.getAuthority() that allows an attacker to bypass the security fix for CVE-2026-32303. The method hardcodes the URI scheme based on port number, causing HTTPS URLs with port 80 to produce the same authority string as HTTP URLs, which defeats both the consistency check and the HTTP block validation. An attacker with write access to a cloud-synced vault.cryptomator file can craft a Hub configuration where apiBaseUrl and authEndpoint use HTTPS with port 80 to pass auto-trust validation, while tokenEndpoint uses plaintext HTTP. The vault is auto-trusted without user prompt, and a network-positioned attacker can intercept the OAuth token exchange to access the Cryptomator Hub API as the victim. This issue has been fixed in version 1.19.2.

Publication Date April 17, 2026, 7:16 a.m.
Registration Date April 18, 2026, 4:10 a.m.
Last Update April 23, 2026, 3:44 a.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:cryptomator:cryptomator:*:*:*:*:*:*:*:* 1.19.2
Related information, measures and tools
Common Vulnerabilities List