JVNDB-2026-005486

Craft CMSにおけるTime-of-check Time-of-use (TOCTOU) 競合状態の脆弱性

Craftはコンテンツ管理システム（CMS）です。バージョン4.5.0-RC1から4.16.18および5.0.0-RC1から5.8.22にかけて、限定使用回数を明示的に設定したトークンのトークン検証サービスにおいて、タイム・オブ・チェック・トゥ・タイム・オブ・ユース（TOCTOU）の競合状態が存在します。`getTokenRoute()`メソッドは、トークンの使用回数を読み取り、その範囲内かどうかを確認した後、非原子的な別々の操作でデータベースを更新します。攻撃者は並行リクエストを送信することで、データベースの更新完了前に1回限りのなりすましトークンを複数回使用できます。この攻撃を成功させるには、攻撃者が有効なユーザーアカウントのなりすましURLを、別の方法で有効期限切れでないトークン付きで取得し、レート制限ルールを回避しながら競合状態を悪用しなければなりません。権限昇格とするためには、なりすましURLに現在のユーザーよりも多くの権限を持つユーザーアカウントのトークンが含まれている必要があります。バージョン4.16.19および5.8.23でこの問題は修正されました。

Craft CMS

• Craft CMS 4.5.0 より大きい 4.16.19 未満
• Craft CMS 5.0.0 より大きい 5.8.23 未満
• Craft CMS 4.5.0
• Craft CMS 5.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Race condition in Token Service potentially allows for token usage greater than the token limit  Advisory  craftcms/cms  GitHub

1. Time-of-check Time-of-use (TOCTOU) 競合状態(CWE-367) [その他]

1. CVE-2026-27128

1. National Vulnerability Database (NVD) : CVE-2026-27128
2. 関連文書 : Fixed GHSA-6fx5-5cw5-4897  craftcms/cms@3e4afe1  GitHub

• [2026年03月02日]
    掲載