JVNDB-2026-003455

Aptsysのgemscms backendにおける複数の脆弱性

2025年5月28日までのAptsys POSプラットフォームWebサービスモジュールには脆弱性が存在し、認証されていないユーザーが内部APIテストツールにアクセスできます。特定のURLにアクセスすることで、攻撃者は利用可能なすべてのバックエンドサービスおよびPOSウェブサービスのディレクトリ形式のインデックスを表示でき、それぞれにテスト入力を送信するためのHTMLフォームが用意されています。これらのパネルは開発者向けですが、本番環境で認証やセッション検証が行われないため、外部の任意の人物がユーザー取引の取得、クレジット調整、POS操作、内部データクエリなどの重要な機能を実行するAPIエンドポイントを発見し、テストおよび実行することが可能です。

Aptsys

• gemscms backend 2025-05-28 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Gist : This Gist contains the plain-text public advisories for five vulnerabilities affecting the Aptsys gemscms and gemsloyalty backend platforms, discovered in 2025. These advisories serve as the required public reference for CVE-2025-52022, CVE-2025-52023, CV

1. 重要な機能に対する認証の欠如(CWE-306) [その他]
2. リクエストの直接送信(CWE-425) [その他]
3. 認証の欠如(CWE-862) [その他]

1. CVE-2025-52024

1. National Vulnerability Database (NVD) : CVE-2025-52024
2. 関連文書 : Aptsys - The Solution To Future Businesses | Best Online Food Ordering System

• [2026年02月13日]
    掲載