JVNDB-2026-008504

Admidioにおける危険なタイプのファイルの無制限アップロードに関する脆弱性

Admidioはオープンソースのユーザ管理ソリューションです。バージョン5.0.6以下には、Documents & Filesモジュールに重大な無制限ファイルアップロードの脆弱性が存在します。UploadHandlerFile.php内のCSRFトークン検証とファイル拡張子検証がどのように相互作用するかに設計上の欠陥があり、アップロード権限を持つ認証済みユーザが意図的に無効なCSRFトークンを送信することでファイル拡張子の制限を回避できます。これによりPHPスクリプトを含む任意のファイルタイプのアップロードが可能となり、サーバ上でリモートコードを実行でき、サーバを完全に乗っ取ったり、データを抽出したり、横移動を行ったりする可能性があります。この問題はバージョン5.0.7で修正されています。

Admidio

• Admidio 5.0.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : File Upload(RCE) Vulnerability in admidio  Advisory  Admidio/admidio  GitHub

1. 危険なタイプのファイルの無制限アップロード(CWE-434) [その他]

1. CVE-2026-32756

1. National Vulnerability Database (NVD) : CVE-2026-32756
2. 関連文書 : Release 5.0.7  Admidio/admidio  GitHub

• [2026年03月25日]
    掲載