JVNDB-2026-009107

syneticsのi-doitにおける危険なタイプのファイルの無制限アップロードに関する脆弱性

i-doit CMDB 1.12には任意のファイルをダウンロードできる脆弱性があり、認証された攻撃者がindex.phpのfileパラメータを操作することで機密ファイルをダウンロードできます。攻撃者はfile_manager=imageを指定してindex.phpにGETリクエストを送り、src/config.inc.phpのような任意のファイルパスを指定することで、設定ファイルや機密システムデータを取得できます。

synetics

• i-doit 1.12

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Exploit Database

• Exploits : i-doit CMDB 1.12 - Arbitrary File Download - PHP webapps Exploit

VulnCheck

• VulnCheck : i-doit CMDB 1.12 Arbitrary File Download via file_manager Parameter  | Advisories | VulnCheck

1. 危険なタイプのファイルの無制限アップロード(CWE-434) [その他]

1. CVE-2019-25582

1. National Vulnerability Database (NVD) : CVE-2019-25582
2. 関連文書 : IT Documentation Solutions | Open Source CMDB | i-doit Open
3. 関連文書 : Google Translate

• [2026年03月27日]
    掲載