vtenext 25.02 のパスワード変更で認証回避（未認証で乗っ取り・25.02.1 で修正）

Critical（CVSS 9.8）に分類されるVTENEXT vtenext（CRM）25.02 以上 25.02.1 未満の脆弱性です。**CRM ソフトウェア vtenext の 25.02（25.02.1 より前）で、認証していない攻撃者が任意のアカウントのパスワードを変更できる。** hub/rpwd.php に action=change_password を送ると、トークンを検証しないまま RecoverPwd::displayChangePwd() がパスワードを書き換える。攻撃者は有効なユーザー名を知っているだけでよく、二要素認証を設定していない管理者としてログインできる。 **評価値。** CVSS は VulnCheck（CNA）の評価で 3.1 が **9.8 Critical**、4.0 が 9.3。NVD は2026年11月4日に公開し、分析状況は Received（NVD 独自の採点は未付与）。CISA KEV には収載されておらず、悪用の報告は確認できていない。 **修正は2025年に出ている。** 発見者の Mattia Brollo 氏（0xbro）が Sicuranext で公開した記事によれば、2025年5月にベンダーへ連絡し、2025年7月24日ごろ公開の 25.02.1 でこの欠陥が修正された。同じ記事は、管理者としてログインした後はファイルの読み込み（LFI）やカスタムモジュールの取り込みでサーバ上のコード実行に至り得ると説明しており、本件はその入口になる。記事にある別の2つの攻撃経路（XSS と CSRF 回避の組み合わせ）は 25.02.2 で修正された。CVE の採番と NVD への登録は修正から1年以上後である。

**vtenext を 25.02.1 以降へ上げる。** 発見者は、記事の3経路すべてが塞がる **25.02.2 以降**を推奨している。回避策は公表されていない。 **影響を受けるかの確認。** 管理画面などで vtenext の版を見て、25.02 で 25.02.1 未満なら該当する。発見者は 20.04 や 24.02 でも検証を行っているので、古い版を使っている場合も最新版へ上げる。 **あわせて行うこと。** 全ての管理者アカウントに二要素認証を設定する（本件で乗っ取れるのは二要素認証の無いアカウント）。インターネットから vtenext に到達できる構成なら、身に覚えのないパスワード変更や管理者ログインの記録が無いかを確認する。 **完了条件**は、全ての vtenext が 25.02.2 以降（少なくとも 25.02.1 以降）であり、管理者アカウントに二要素認証が設定されていること。

VTENEXT vtenext（CRM）25.02 以上 25.02.1 未満 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-71457）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。