B
今週中
MatchPoint APIにおいて、不適切な直接オブジェクト参照（IDOR）の脆弱性
📌 一言でいうと
MatchPoint APIにおいて、不適切な直接オブジェクト参照（IDOR）の脆弱性が発見されました。攻撃者がHTTPヘッダーの「actingasuser」を操作することで、権限のないユーザーの個人情報、銀行口座データ、メッセージ、物理アクセス用QRコードなどにアクセス可能です。さらに、第三者アカウントのパスワード変更や仮想残高の転送といった不正操作が行われる危険性があります。
🔍該当判定
- 自社で「MatchPoint API」という名称のシステムやサービスを利用している
- 社内システムや外部連携で「MatchPoint」というAPIを組み込んでいる
- 開発環境や本番環境で「MatchPoint API」を介してユーザーデータや決済データを管理している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
APIサーバー側で、リクエストヘッダーの『actingasuser』に指定されたユーザーに対するリクエスト送信者の正当な権限を検証するロジックを実装してください。また、順次的な識別子の使用を避け、予測不可能なランダムな識別子の導入を検討してください。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】MatchPoint API CVE-2026-111490 対応について
お疲れさまです。MatchPoint APIに関する深刻な脆弱性の情報共有です。
■ 概要
MatchPoint APIにおいて、IDOR（不適切な直接オブジェクト参照）の脆弱性が確認されました（CVSS 9.9）。HTTPヘッダーの「actingasuser」を操作することで、認証を回避して他者の個人情報や金融データの閲覧、アカウント操作が可能です。
■ 影響範囲
- MatchPoint API
■ 対応手順
1. APIサーバー側で、actingasuserヘッダーで指定されたユーザーに対する操作権限がリクエスト送信者にあるかを確認するバリデーション処理を実装してください。
2. ユーザー識別子に順次的な数値を使用している場合は、UUIDなどの推測困難な識別子への変更を検討してください。
■ 参考情報
- NVD CVE-2026-111490
対応優先度: 高
対応期限: 速やかに
お疲れさまです。MatchPoint APIに関する深刻な脆弱性の情報共有です。
■ 概要
MatchPoint APIにおいて、IDOR（不適切な直接オブジェクト参照）の脆弱性が確認されました（CVSS 9.9）。HTTPヘッダーの「actingasuser」を操作することで、認証を回避して他者の個人情報や金融データの閲覧、アカウント操作が可能です。
■ 影響範囲
- MatchPoint API
■ 対応手順
1. APIサーバー側で、actingasuserヘッダーで指定されたユーザーに対する操作権限がリクエスト送信者にあるかを確認するバリデーション処理を実装してください。
2. ユーザー識別子に順次的な数値を使用している場合は、UUIDなどの推測困難な識別子への変更を検討してください。
■ 参考情報
- NVD CVE-2026-111490
対応優先度: 高
対応期限: 速やかに
Subject: [Security Advisory] MatchPoint API CVE-2026-111490
Dear Team,
We are sharing critical information regarding a vulnerability in the MatchPoint API.
■ Overview
An Insecure Direct Object Reference (IDOR) vulnerability (CVSS 9.9) has been identified. Attackers can manipulate the 'actingasuser' HTTP header to bypass authorization, allowing unauthorized access to sensitive personal/financial data and the ability to modify third-party accounts.
■ Scope
- MatchPoint API
■ Remediation Steps
1. Implement server-side verification to ensure the requester is authorized to act as the user specified in the 'actingasuser' header.
2. Replace sequential identifiers with unpredictable, random identifiers (e.g., UUIDs) to prevent enumeration attacks.
■ Reference
- NVD CVE-2026-111490
Priority: High
Deadline: Immediate
Dear Team,
We are sharing critical information regarding a vulnerability in the MatchPoint API.
■ Overview
An Insecure Direct Object Reference (IDOR) vulnerability (CVSS 9.9) has been identified. Attackers can manipulate the 'actingasuser' HTTP header to bypass authorization, allowing unauthorized access to sensitive personal/financial data and the ability to modify third-party accounts.
■ Scope
- MatchPoint API
■ Remediation Steps
1. Implement server-side verification to ensure the requester is authorized to act as the user specified in the 'actingasuser' header.
2. Replace sequential identifiers with unpredictable, random identifiers (e.g., UUIDs) to prevent enumeration attacks.
■ Reference
- NVD CVE-2026-111490
Priority: High
Deadline: Immediate