OpenAlgo CVE-2026-120250はMedium―SMTP証明書検証を2.0.3.1で修正

VulnCheckは日本時間2026年11月1日9時57分、OpenAlgoのCVE-2026-120250を登録しました。CVSS v4.0は6.0、Medium（中）です。対象は1.0.0.29以上2.0.3.1未満で、修正版2.0.3.1のリリース案内は10月30日付です。CVE登録前に修正情報が公開されています。

原因は、メール送信処理でTLS証明書とホスト名の検証を無効にしていたことです。STARTTLSとSMTPSの接続で、通信経路に介入できる攻撃者が偽の証明書を提示すると、SMTP認証情報やパスワード再設定リンクを読み取るおそれがあります。インターネットの任意の場所から無条件に実行できる攻撃ではありません。

修正後はメール送信、テストメール、SMTP接続確認、デバッグ処理で証明書とサーバー名を検証し、不一致なら送信前に停止します。公式リリースには別の問題として、SMTPデバッグログへ認証情報を出していた処理の修正も記載されています。

2.0.3.1へ更新した後、通常のメール送信を確認してください。SMTPホストをIPアドレスで指定していたり、自己署名証明書を使っていたりすると、新しい検証で接続が止まる場合があります。検証を再び無効にするのではなく、公式案内に従ってホスト名と信頼される証明書を設定します。