JVNDB-2026-004269

Craft CMSにおけるクラスまたはコードを選択する外部から制御された入力の使用に関する脆弱性

Craftはデジタル体験を作成するためのプラットフォームです。バージョン4.0.0-RC1から4.16.17および5.0.0-RC1から5.8.21において、Craft CMSのsrc/services/Fields.php内のassembleLayoutFromPost()関数が、Craft::createObject()に渡す前にユーザー提供の設定データを適切にサニタイズしていないため、リモートコード実行の脆弱性があります。このため、認証済みの管理者が悪意のあるYii2ビヘイビア構成を注入し、サーバー上で任意のシステムコマンドを実行する可能性があります。この脆弱性は、以前に修正されたビヘイビア注入の問題の未修正の亜種であり、異なるエンドポイントが別のコード経路で影響を及ぼします。この脆弱性はバージョン5.8.22で修正されました。

Craft CMS

• Craft CMS 4.0.0 より大きい 4.16.18 未満
• Craft CMS 5.0.0 より大きい 5.8.22 未満
• Craft CMS 4.0.0
• Craft CMS 5.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Potential authenticated Remote Code Execution via malicious attached Behavior  Advisory  craftcms/cms  GitHub

1. クラスまたはコードを選択する外部から制御された入力の使用(CWE-470) [その他]

1. CVE-2026-25498

1. National Vulnerability Database (NVD) : CVE-2026-25498
2. 関連文書 : Release 5.8.22  craftcms/cms  GitHub
3. 関連文書 : Fixed GHSA-7jx7-3846-m7w7  craftcms/cms@395c64f  GitHub

• [2026年02月20日]
    掲載