|
[English]
|
JVNDB-2025-010408
|
PowerCMS における複数の脆弱性
|
|
アルファサード株式会社が提供する PowerCMS には、次の複数の脆弱性が存在します。
* 反射型クロスサイトスクリプティング (CWE-79) - CVE-2025-36563
* 格納型クロスサイトスクリプティング (CWE-79) - CVE-2025-41391
* ファイルアップロードにおけるパストラバーサル (CWE-22) - CVE-2025-41396
* バックアップリストアにおけるパストラバーサル (CWE-22) - CVE-2025-46359
* CSV ファイル中の数式要素の無害化不備 (CWE-1236) - CVE-2025-54752
* アップロードするファイルの検証が不十分 (CWE-434) - CVE-2025-54757
この脆弱性情報は、下記の方が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。
報告者：VCSLab - Viettel Cyber Security thanhtt74 (Tran Thi Thanh) 氏、namdi (Do Ich Nam) 氏、quanlna2 (Le Nguyen Anh Quan) 氏
|
|
CVSS v3 による深刻度
基本値: 7.2 (重要) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 高
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 高
- 完全性への影響(I): 高
- 可用性への影響(A): 高
※上記は、CVE-2025-46359 の評価になります。
|
CVSS v3 による深刻度
基本値:6.5 (警告) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 低
- 利用者の関与: 要
- 影響の想定範囲: 変更あり
- 機密性への影響(C): 低
- 完全性への影響(I): 低
- 可用性への影響(A): 低
※上記は、CVE-2025-54752 の評価になります。
|
CVSS v3 による深刻度
基本値:6.5 (警告) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 低
- 利用者の関与: 要
- 影響の想定範囲: 変更あり
- 機密性への影響(C): 低
- 完全性への影響(I): 低
- 可用性への影響(A): 低
※上記は、CVE-2025-54757 の評価になります。
|
CVSS v3 による深刻度
基本値:6.1 (警告) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 要
- 影響の想定範囲: 変更あり
- 機密性への影響(C): 低
- 完全性への影響(I): 低
- 可用性への影響(A): なし
※上記は、CVE-2025-36563 の評価になります。
|
CVSS v3 による深刻度
基本値:5.4 (警告) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 低
- 利用者の関与: 要
- 影響の想定範囲: 変更あり
- 機密性への影響(C): 低
- 完全性への影響(I): 低
- 可用性への影響(A): なし
※上記は、CVE-2025-41391 の評価になります。
|
CVSS v3 による深刻度
基本値:5.4 (警告) [その他]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 低
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): なし
- 完全性への影響(I): 低
- 可用性への影響(A): 低
※上記は、CVE-2025-41396 の評価になります。
|
|
|
アルファサード株式会社
- PowerCMS 6.7 およびそれ以前 (PowerCMS 6.x 系)
- PowerCMS 5.3 およびそれ以前 (PowerCMS 5.x 系)
- PowerCMS 4.6 およびそれ以前 (PowerCMS 4.x 系)
|
|
|
想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。
* 製品の管理者が細工された URL にアクセスすると、管理者のブラウザ上で任意のスクリプトが実行される (CVE-2025-36563)
* 製品ユーザーが細工されたページにアクセスすると、当該ユーザーのブラウザ上で任意のスクリプトが実行される (CVE-2025-41391)
* 製品ユーザーによって、任意のファイルが上書きされる (CVE-2025-41396)
* 製品の管理者によって、改ざんしたバックアップファイルをリストアされることにより任意のコードが実行される (CVE-2025-46359)
* 製品ユーザーが不正に作成したエントリーを、別のユーザーが CSV ファイルとしてダウンロードして自身の環境で開くとコードが実行される (CVE-2025-54752)
* 製品ユーザーがアップロードした不正なファイルに製品の管理者がアクセスすると、管理者のブラウザ上で任意のスクリプトが実行される (CVE-2025-54757)
|
|
[アップデートする]
開発者が提供する情報をもとに、最新版にアップデートしてください。
|
|
アルファサード株式会社
|
|
- CSV ファイル内の数式要素の不適切な中和(CWE-1236) [その他]
- パス・トラバーサル(CWE-22) [その他]
- 危険なタイプのファイルの無制限アップロード(CWE-434) [その他]
- クロスサイトスクリプティング(CWE-79) [その他]
|
|
- CVE-2025-36563
- CVE-2025-41391
- CVE-2025-41396
- CVE-2025-46359
- CVE-2025-54752
- CVE-2025-54757
|
|
- JVN : JVNVU#93412964
|
|
|
