JVNDB-2026-001202

Craft CMSにおけるテンプレートエンジンで使用される特殊な要素の不適切な無効化に関する脆弱性

Craftはデジタル体験を作成するためのプラットフォームです。バージョン5.0.0-RC1から5.8.20および4.0.0-RC1から4.16.16は、Twig SSTIを介した認証済みのリモートコード実行の可能性に対して脆弱です。この攻撃を実行するには、ユーザーがCraftコントロールパネルへの管理者アクセスを持ち、allowAdminChangesが有効になっている必要がありますが、これは開発環境以外のCraft CMSの推奨設定に反しています。あるいは、allowAdminChangesが無効な非管理者アカウントでも、システムメッセージユーティリティへのアクセスが可能であれば利用することができます。Craftコントロールパネルの設定内にあるTwig入力を受け付けるテキストフィールドやシステムメッセージユーティリティでは、Twigの`map`フィルターを使って悪意のあるペイロードを作成することが可能であり、それがリモートコード実行につながる恐れがあります。ユーザーは問題を軽減するために、パッチ適用済みのバージョン（5.8.21および4.16.17）にアップデートすべきです。

Craft CMS

• Craft CMS 4.0.0.1 以上 4.16.17 未満
• Craft CMS 5.0.1 以上 5.8.21 未満
• Craft CMS 4.0.0
• Craft CMS 5.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Potential authenticated Remote Code Execution via Twig SSTI  Advisory  craftcms/cms  GitHub

1. テンプレートエンジンで使用される特殊な要素の不適切な無効化(CWE-1336) [その他]

1. CVE-2025-68454

1. National Vulnerability Database (NVD) : CVE-2025-68454
2. 関連文書 : Fixed GHSA-742x-x762-7383  craftcms/cms@d82680f  GitHub
3. 関連文書 : cms/CHANGELOG.md at 5.x  craftcms/cms  GitHub

• [2026年01月14日]
    掲載