Uasoft Badaso バージョン 2.9.7 までにセキュリティ脆弱性が検出されました。影響を受けるのは、コンポーネント Token Handler の src/Controllers/BadasoAuthController.php ファイルの forgetPassword 関数です。この脆弱性により、弱いパスワードリカバリーが可能になります。この攻撃はリモートで実行可能で、攻撃の複雑さは高いと特徴付けられます。攻撃の実行は困難であるとされています。この脆弱性の悪用コードは公開されており、利用される可能性があります。ベンダーにはこの開示について早期に連絡しましたが、何の応答もありませんでした。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。