Androidアプリ「チケット流通センター」における複数の脆弱性

概要

株式会社ウェイブダッシュが提供するAndroidアプリ「チケット流通センター」には、複数の脆弱性が存在します。

影響を受ける製品

• Androidアプリ「チケット流通センター」 4.1.9およびそれ以前のバージョン

想定される影響・悪用状況

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 外部サービスと連携するためのAPIキーが窃取される（CVE-2026-92861）
• 悪意あるアプリからintentを受け取ると、当該製品を経由し任意のウェブサイトにアクセスさせられる。結果として、フィッシングフィッシング：実在の企業やサービスを装ったメールやSMS（ショートメッセージ）で本物そっくりの偽サイトへ誘導し、ID・パスワードやクレジットカード情報などを盗み取る詐欺手法。詳しく見る →等の被害にあう（CVE-2026-92862）

深刻度

• ハードコードされた認証認証：アクセスしてきた相手が名乗っている通りの本人であることを確認する仕組み。詳しく見る →情報の使用（CWE-798） – CVSS:4.0
• Custom URL Schemeハンドラーにおけるアクセス制限不備（CWE-939） – CVSS:4.0

対策

アップデートパッチ適用：ソフトウェアやファームウエアに発見された脆弱性や不具合を修正するための更新プログラムを適用し、システムを安全な状態に保つこと。詳しく見る →する
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は、2025年10月に本脆弱性を修正した次のバージョンを提供済みです。

• Androidアプリ「チケット流通センター」 4.2.0

開発者によると、本脆弱性の影響を受けるバージョンを使用している場合、起動時に即時アップデートが強制されるとのことです。
CVE-2026-92861の脆弱性に関しては、修正版ではAPIキーがアプリ内から削除されています。
また既存のAPIキーはすでに無効化されているため、本脆弱性の影響を受けるバージョンのアプリに含まれる情報を悪用することはできません。

出典

出典機関: JVN
元記事タイトル: Androidアプリ「チケット流通センター」における複数の脆弱性
https://jvn.jp/jp/JVN53292492/