JVNDB-2026-008162

Mura SoftwareのMura CMSにおけるクロスサイトリクエストフォージェリの脆弱性

MuraCMSのバージョン10.1.10までに存在する更新住所CSRF脆弱性により、攻撃者はCSRFを通じてユーザーの住所情報を不正に操作できます。脆弱なcUsers.updateAddress関数はCSRFトークンの検証を欠いており、認証された管理者が細工されたウェブページを訪問すると、悪意のあるウェブサイトがリクエストを偽造してユーザーの住所を追加、変更、または削除することが可能になります。この更新住所CSRF脆弱性が成功裏に悪用されると、MuraCMSシステム内のユーザー住所情報が不正に操作され、ユーザーデータの整合性や組織内の通信が侵害される可能性があります。認証された管理者がCSRF攻撃を含む悪意のあるウェブページを訪れると、ブラウザは自動的に隠されたフォームを送信し、攻撃者が制御するメールアドレスや電話番号を持つ悪質な住所を追加したり、既存の住所を更新して通信を攻撃者の管理下にある場所へ転送したり、正当な住所記録を削除して業務を妨害したりします。これにより、機密通信の誤送信や攻撃者の連絡先情報の注入によるユーザープライバシーの侵害、正当なビジネス連絡の妨害、そして改ざんされた住所データを用いた社会工学的攻撃のリスクが生じます。

Mura Software

• Mura CMS

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. クロスサイトリクエストフォージェリ(CWE-352) [その他]

1. CVE-2025-55045

1. National Vulnerability Database (NVD) : CVE-2025-55045
2. 関連文書 : Release Notes - Mura Docs v10 (https://docs.murasoftware.com/v10/release-notes/#section-version-1014)
3. 関連文書 : Mura: The Business Enablement Platform for Digital Solutions - Mura
4. 関連文書 : Release Notes - Mura Docs v10 (https://docs.murasoftware.com/v10/release-notes/)

• [2026年03月23日]
    掲載