OneUptime Unauthorized User Creation via API

高 8.1CVE-2025-65966 · GHSA-m449-vh5f-574g · 26/11/2025 公開 · 18/10/2026 更新

要点

CVE-2025-65966 は oneuptime (hackerbay), @oneuptime/common に影響する深刻度「高」 (CVSS 8.1) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.33%（全脆弱性の 26.1% より高い）。
対処：9.1.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
oneuptime hackerbay	`= 9.0.5598`	修正版なし
@oneuptime/common npm	`< 9.1.0`	`9.1.0`

概要

Summary

A low-permission user can create new accounts through a direct API request instead of being restricted to the intended interface.

PoC

A low-permission user sends a crafted API request to the user-creation endpoint and the system creates the account successfully.

Impact

This allows attackers to create unauthorized accounts.

NVD の説明

OneUptime is a solution for monitoring and managing online services. In version 9.0.5598, a low-permission user can create new accounts through a direct API request instead of being restricted to the intended interface. This issue has been patched in version 9.1.0.