JVNDB-2025-025157

BackdropのBackdrop CMSにおけるクロスサイトスクリプティングの脆弱性

Backdrop CMS 1.28.xの1.28.5未満および1.29.xの1.29.3未満において、XSSの問題が発見されました。CKEditor 5リッチテキストエディターを使用する際に長いテキストコンテンツを十分に分離していません。このため、攻撃者は管理者がコンテンツを編集しようとした際に実行される可能性のある特殊なHTMLおよびJavaScriptを作成できる恐れがあります。この脆弱性は、攻撃者が長いテキストコンテンツ（ノードやコメントのフォームなどを介して）を作成する権限を持ち、かつ管理者が悪意のあるコンテンツを含むコンテンツを編集（表示ではなく）する必要があるため、ある程度緩和されています。この問題はCKEditor 5モジュールを使用している場合にのみ存在します。

Backdrop

• Backdrop CMS 1.28.0 以上 1.28.5 未満
• Backdrop CMS 1.29.0 以上 1.29.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

ASTRA IT, Inc.

• ASTRA IT, Inc. : CVE-2025-25062:Stored XSS in Backdrop CMS v1.28.2

Backdrop

• Backdrop : Backdrop core - Moderately Critical - CKEditor 5 Cross Site Scripting - BACKDROP-SA-CORE-2025-001 | Backdrop CMS

Medium

• Medium : CVE-202525062: Stored Cross-Site Scripting (XSS) in Backdrop CMS | by Rudransh Singh Rajpurohit | Medium

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2025-25062

1. National Vulnerability Database (NVD) : CVE-2025-25062

• [2026年01月26日]
    掲載