Creema（クリーマ）スマートフォンアプリにおけるオープンリダイレクトの脆弱性（JVNDB-2026-000117）

JVN（Japan Vulnerability Notes）は、CREEMA LTD.が提供するスマートフォンアプリ「ハンドメイドマーケットアプリ – Creema（クリーマ）」において、オープンリダイレクトの脆弱性（CWE-601）が存在すると公表した。脆弱性の識別番号はCVE-2026-72528で、JVNDB-2026-000117として2026年10月15日に公開された。

脆弱性の詳細

本件は、アプリが特別に細工されたURLを処理する際、攻撃者が用意したWebサイトをアプリ内の画面に表示させられるオープンリダイレクトの脆弱性である。利用者が細工されたURLにアクセスすると、Creemaアプリが起動し、正規アプリの画面内に攻撃者のWebサイトが表示される可能性がある。

この脆弱性を悪用された場合、利用者をフィッシングサイトへ誘導し、ログイン情報や個人情報などの入力を促す被害につながるおそれがある。アプリや端末を直接乗っ取る脆弱性であることは確認されていないが、正規アプリ内に表示されることで、偽サイトを信頼してしまうリスクがある。

JVN（Japan Vulnerability Notes）は本脆弱性について、CVSS v3の基本値を4.3（警告）としている。攻撃元区分はネットワーク、攻撃条件の複雑さは低く、攻撃に必要な特権レベルは不要だが、利用者の関与が必要と評価されている。

攻撃には、攻撃者が用意した特別なURLへ利用者を誘導する必要がある。具体的な攻撃手順や被害事例の詳細は現時点で不明である。

影響を受ける製品・バージョン

• CREEMA LTD.「ハンドメイドマーケットアプリ – Creema」Android版：バージョン2.436.0未満
• CREEMA LTD.「Creema – Handmade Marketplace App」iOS版：バージョン2.432.0未満

推奨される対策

• アプリを最新バージョンへ更新する。Android版は2.436.0以降、iOS版は2.432.0以降への更新が推奨される
• アプリストアで更新版の提供状況を確認し、利用しているOSに応じたアップデートを適用する
• 不審なURLや、送信者・内容に心当たりのないリンクへアクセスしない
• アプリ内に表示されたログイン画面や個人情報の入力画面であっても、URLや表示内容を確認し、不自然な入力要求があれば情報を入力しない

日本の中小企業が今すぐ取るべき行動

• 最優先：社内でCreemaアプリを利用しているAndroid端末とiOS端末を洗い出し、Android版は2.436.0未満、iOS版は2.432.0未満でないことを確認する
• 次に：影響を受けるバージョンを使用している端末では、アプリストア経由で更新を適用し、更新状況を端末名・OS・アプリバージョン・実施日とともに記録する
• 運用面：取引先や顧客を装ったURL誘導に備え、リンクを開く前に送信者を確認し、必要に応じて別経路で真偽を確認する手順を周知する
• 監視：不審なログイン通知、パスワード再設定メール、アカウント情報の入力要求などがあった場合は、フィッシング被害の兆候として早期に報告・確認する

CSRIからの現場アドバイス

本件は、特別に細工されたURLをWebブラウザーで開いた際にCreemaアプリが起動し、アプリ内に攻撃者のWebサイトが表示されるタイプの脆弱性である。アプリ内に表示されることで正規画面と誤認しやすくなるため、リンクの出所や遷移先を確認する運用が重要となる。

例えるなら、正規アプリの中にある案内表示が、攻撃者の指定した偽サイトへの案内に利用されるようなものだ。画面が公式アプリ内に表示されていても、表示されたサイトの安全性や入力先が保証されるとは限らない。

まず社内端末でCreemaアプリのOS別バージョンを確認し、Android版は2.436.0以降、iOS版は2.432.0以降へ更新する。次に、不審なURLを受け取った際の送信者確認と別経路確認の手順を周知する。異常な入力要求やログイン通知が確認された場合は、被害の有無を確認し、必要に応じて認証情報の変更などの対応を行う。

参照: スマートフォンアプリ「ハンドメイドマーケットアプリ – Creema（クリーマ）」におけるオープンリダイレクトの脆弱性