SciTokens が KeyCache の SQL インジェクション (SQL Injection) に対して脆弱

scitokens の CVE-2026-32714 は、SQL インジェクションのリスクを高めます。src/scitokens/utils/keycache.py にある脆弱なコードは、Python の str.format() 関数を使用して SQL クエリを構築し、issuer や key_id などのユーザー提供データを取り込みます。この手法により、攻撃者は悪意のある SQL コードをクエリに挿入し、ローカルの SQLite データベースに対して任意のコマンドを実行する可能性があります。潜在的な影響には、データ損失、データ改ざん、サービス拒否、および一部のケースでは機密情報の不正アクセスが含まれます。バージョン 1.9.6 がこの脆弱性を修正しているため、直ちに更新することを強くお勧めします。

Applications that rely on the scitokens library for authentication or authorization, particularly those using SQLite as their database backend, are at risk. Systems with older, unpatched versions of scitokens are especially vulnerable. Development environments and testing systems using scitokens should also be prioritized for patching.

• python / library:

import os
import sqlite3

def check_scitokens_version():
    try:
        import scitokens
        version = scitokens.__version__
        if version <= '1.8.1':
            print(f"scitokens version is vulnerable: {version}")
        else:
            print(f"scitokens version is patched: {version}")
    except ImportError:
        print("scitokens is not installed.")

check_scitokens_version()

• python / file: Examine src/scitokens/utils/keycache.py for instances of str.format() used with user-supplied data in SQL queries. • generic web: Monitor application logs for unusual SQL errors or database activity that might indicate an attempted SQL Injection attack.

1. 2026-03-31Disclosure

   disclosure

2. 2026-03-31PoC

   poc

3. 2026-03-31Patch

   patch

1. 予約済み2026-03-13
2. 公開日2026-03-31
3. EPSS 更新日2026-04-07

CVE-2026-32714 の主な軽減策は、scitokens ライブラリをバージョン 1.9.6 以降に更新することです。このバージョンには、準備されたステートメントを使用するなど、SQL クエリの構築に安全な方法を使用することで SQL インジェクションを防止する修正が含まれています。さらに、アプリケーションのコードを調べて、ユーザー提供データが SQL クエリの構築に使用されている他のインスタンスを特定し、同様のセキュリティ対策を適用することが重要です。アプリケーションの依存関係を定期的に更新するポリシーを実装することは、セキュリティを維持するために不可欠です。