Pythonのライブラリ Spotipy の脆弱性によるSpotify 認証トークン漏洩の可能性(CVE-2025-27154)

Spotify のWeb APIと連携するPythonライブラリSpotipyに、ユーザーの認証トークンが漏洩する可能性のある脆弱性（CVE-2025-27154）が発見されました。パッチはリリース済みなのでアップデートして対応する事をお勧めします。

脆弱性の対象バージョン

バージョン 2.25.1 未満

脆弱性の対策バージョン

バージョン 2.25.1 以降

脆弱性 CVE-2025-27154 の概要

この脆弱性にはCVSSv4スコア8.4が付与されており、影響度が高い問題とされています。

問題の発端は、SpotipyのCacheHandlerクラスがSpotify認証トークンを保存する際のキャッシュファイルのアクセス権限設定にあります。該当バージョンでは、キャッシュファイルが過度に許可された権限（644）で作成されており、同じマシン上の他のユーザーやプロセスがこのファイルを読み取ることが可能な状態でした。

この脆弱性が悪用されると、Spotifyアカウントへの不正アクセスやアカウント乗っ取りといったリスクが発生する可能性があります。

 

影響範囲と攻撃者による悪用の可能性

攻撃者がこの脆弱性を悪用した場合、被害者のSpotifyアカウントに対して以下のような操作が可能になります。

1. アカウント情報の窃取

   • ユーザーの**「いいね」リストや保存済みのプレイリスト**などのデータを盗み出す。

2. データの改ざんや削除

   • ユーザーのSpotifyライブラリのデータを意図的に削除または変更する。
   • 例えば、特定のアーティストやアルバムを削除し、ユーザーの音楽環境を混乱させる。

3. アカウントの完全乗っ取り

   • 認証トークンを用いてアカウントの設定を変更することで、第三者がアカウントを制御できるようになる可能性がある。

このような攻撃が実際に行われると、Spotifyユーザーの個人情報や好みのリストが不正に取得されるだけでなく、アカウントそのものが乗っ取られる可能性もあり、セキュリティ上のリスクが非常に高い状態となります。