JVNDB-2026-008493

Admidioにおける認証の欠如に関する脆弱性

Admidioはオープンソースのユーザ管理ソリューションです。バージョン5.0.0から5.0.6までの間において、documents and filesモジュールは現在のユーザがフォルダやファイルを削除する権限を持っているかどうかを検証していませんでした。modules/documents-files.php内のfolder_deleteおよびfile_deleteアクションハンドラは、delete()を呼び出す前にVIEW認可チェック(getFolderForDownload / getFileForDownload)のみを実行し、CSRFトークンの検証を行いませんでした。対象のUUIDは$_GETから読み取られるため、削除は単純なHTTP GETリクエストでトリガー可能でした。モジュールがパブリックモード(documents_files_module_enabled = 1)の場合かつフォルダが公開状態(fol_public = true)の場合、認証されていない攻撃者がドキュメントライブラリ全体を永久に破壊することが可能でした。モジュールがログインを要求する場合でも、閲覧専用権限しか持たないユーザが読むことのみ許可されたコンテンツを削除できました。この問題はバージョン5.0.7で修正されています。

Admidio

• Admidio 5.0.0 以上 5.0.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Missing Authorization and CSRF Protection on Document and Folder Deletion  Advisory  Admidio/admidio  GitHub

1. 認証の欠如(CWE-862) [その他]

1. CVE-2026-32817

1. National Vulnerability Database (NVD) : CVE-2026-32817

• [2026年03月25日]
    掲載