JVNDB-2026-008494

Admidioにおけるクロスサイトリクエストフォージェリの脆弱性

Admidioはオープンソースのユーザー管理ソリューションです。バージョン5.0.0から5.0.6までのmodules/groups-roles/groups_roles.phpにあるdelete、activate、deactivateモードは、組織の役割に対して破壊的な状態変更を行いますが、いずれもアンチCSRFトークンの検証を行っていません。クライアント側のUIはCSRFトークンをcallUrlHideElement()に渡し、POSTボディに含めますが、サーバー側のハンドラーはこれら3つのモードについて$_POST["adm_csrf_token"]を完全に無視しています。攻撃者は役割のUUID（モジュールが公開されている場合、公開カードビューで表示可能）を発見できれば、任意の外部ページに偽造POSTフォームを埋め込み、rol_assign_roles権限を持つ任意のユーザーを騙して組織の役割を削除または切り替えさせることができます。役割の削除は恒久的であり、すべてのメンバーシップ、イベント関連、および権利データに連鎖的に影響を及ぼします。もし悪用された場合、攻撃者は委任された役割割り当て権限を持つ任意のユーザーを騙して役割を永久に削除させ、関連するすべてのメンバーシップおよびイベント、ドキュメント、メーリングリストへのアクセスを一斉に取り消すか、または役割UUIDを未認証の公開カードビューから容易に収集して、グループ全体を静かに有効化または無効化することができます。元に戻すにはデータベースの復元以外の方法はありません。この問題はバージョン5.0.7で修正されました。

Admidio

• Admidio 5.0.0 以上 5.0.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Missing CSRF Validation on Role Delete, Activate, and Deactivate Actions  Advisory  Admidio/admidio  GitHub

1. クロスサイトリクエストフォージェリ(CWE-352) [その他]

1. CVE-2026-32816

1. National Vulnerability Database (NVD) : CVE-2026-32816
2. 関連文書 : Release 5.0.7  Admidio/admidio  GitHub

• [2026年03月25日]
    掲載