【2026/08/04】Aikido Intel 日次 — JWT/認証ライブラリに脆弱性7件集中(fast-jwt・jwt-simple・jose)、lightrag-hku認証バイパスCritical 98など計17件で週末明け再開。Malwareはカジノ偽装npm 29種一斉など42 unique、8/2分は277 uniqueへ遡及確定

数字

日付(UTC)	Critical	High	Medium	Low	Pre-CVE	Malware unique
7/30	7	20	11	4	5	281
7/31	1	1	1	0	0	114
8/1	0	0	0	0	0	62
8/2	0	0	0	0	0	277
8/3	1	5	6	2	3	42

注記: 過去日は前号までの確定値を再掲している(フィードは後から増減するため再集計はしない)。8/2のMalwareは前号(8/3号)時点では171 unique(8/3 07:25 JST集計の暫定値)だったが、本号で生323行/277 uniqueへ遡及確定した。8/3は本号集計(8/4 07:25 JST)の当日値で、フィード最終検出が8/3 13:24 UTCのため暫定=翌号で遡及確認する。脆弱性(CVE/GHSA・Pre-CVE)は8/1(土)・8/2(日)とも0件=週末ゼロの通常パターンからの月曜再開。

新規観測（事実のみ）

脆弱性（8/3 公開、計17件）

CVE/GHSA 14件(Critical 1・High 5・Medium 6・Low 2)+Pre-CVE 3件。JWT/認証系ライブラリに7件(fast-jwt 3・jwt-simple 3・jose 1)が集中した。

ID	パッケージ	言語	深刻度	内容	修正版
GHSA-2hjx-23vw-wvw4	lightrag-hku	Python	Critical 98	認証バイパス	1.5.5
GHSA-h6wx-5586-3jg7	airflow-code-editor	Python	High 88	不適切な認可	8.3.0
GHSA-5hjw-83fp-phq9	fast-jwt	JS	High 81	認可バイパス	6.3.0
GHSA-vgc9-f48j-3xvj	jwt-simple	Rust	High 75	不適切な認証	0.13.0
GHSA-7wvg-3v5v-p8hh	mockttp	JS	High 75	無制限IPへのバインド	3.17.2 / 4.6.0
GHSA-8wpc-h4q6-8fxv	fast-jwt	JS	High 74	認証バイパス	6.3.1
GHSA-687g-22h4-j4w4	fast-jwt	JS	Medium 59	セッション失効不備	6.3.0
GHSA-hc5j-q32w-c25v	pyodata	Python	Medium 59	SSRF	1.12.0
GHSA-58cq-mgw2-38m5	vrana/adminer	PHP	Medium 58	SSRF	5.5.0
GHSA-vrcj-2fw8-5wm6	jwt-simple	Rust	Medium 53	不適切な認証	0.13.0
GHSA-gwc4-h77p-37cw	jwt-simple	Rust	Medium 53	認証バイパス	0.13.0
GHSA-8478-xrj3-h9c2	vrana/adminer	PHP	Medium 47	オープンリダイレクト	5.5.0
GHSA-fr74-9mf9-gf44	vrana/adminer	PHP	Low 23	入力検証不備	5.5.1
CVE-2026-15195	@apidevtools/json-schema-ref-parser	JS	Low 21	プロトタイプ汚染	15.3.6

Pre-CVE 3件: AIKIDO-2026-933244 @apidevtools/json-schema-ref-parser JS Medium 54(SSRF、修正版15.5.1)、AIKIDO-2026-523065 同 Low 35(プロトタイプ汚染、修正版15.5.1)、AIKIDO-2026-584205 jose JS Low 25(不適切な認証、修正版6.2.5)。

Malware（8/3 検出、42 unique／生52）

全行npm(エコシステム内訳: npm 生52)。

カジノ偽装npm: 29種/生39。00:46〜01:40 UTCの約1時間に一斉公開。うち10種は1.0.0/1.0.1の連投。
beaver-ui系クラスタ継続: 10パッケージ(8/1の13パッケージに続く再来。accounts系2パッケージを含む34.x帯の高バージョン連投)。
terminal-kit-tslint-config 20.1.9 — 実在OSS(terminal-kit)の名称にtslint-configを付し高バージョン番号を付与するパターン。
@nuwax-ai/nuwax-codex-acp-ts、tailwind-anim 各1件。

注意点（3つ）

JWT/認証ライブラリへの脆弱性集中 — fast-jwt・jwt-simple・joseで計7件、いずれも認証バイパス・不適切な認証系。lightrag-hkuの認証バイパス(Critical 98)も含め、トークン検証経路を持つサービスは影響バージョンの確認と修正版適用を優先。
カジノ偽装npmの大量一斉公開 — 単日29種は検索流入・typosquat狙いの規模。公開直後パッケージの導入を遅らせる運用(例: Aikido Safe Chainの既定48時間隔離)が有効。
暫定値は動く — 8/2のMalwareは171→277 uniqueへ遡及確定(生176→323)。フィードは後から増減するため、最新日の値は常に暫定として扱い、確定は翌号で行う。8/3分も同様。

連続性メモ

7/30=C7/H20/M11/L4/Pre5/MW281(確定)
7/31=C1/H1/M1/L0/Pre0/MW114(確定)
8/1=C0/H0/M0/L0/Pre0/MW62(確定。8/3号で暫定0→62へ遡及確定)
8/2=C0/H0/M0/L0/Pre0/MW277(本号で171→277 unique・生176→323へ遡及確定)
8/3=C1/H5/M6/L2/Pre3/MW42(暫定。8/4 07:25 JST集計、フィード最終検出8/3 13:24 UTC。翌号で遡及確認)