JVNDB-2026-009271

Craft CMSにおけるクラスまたはコードを選択する外部から制御された入力の使用に関する脆弱性

Craft CMSはコンテンツ管理システム（CMS）です。バージョン5.6.0からバージョン5.9.13より前までの間に、Craft CMSにリモートコード実行（RCE）脆弱性が存在していました。この脆弱性は管理パネルのアクセス権を持つ認証済みユーザーによって悪用可能です。これは以前の修正を回避するものでした。既存のパッチでは、Yii2の挙動およびイベントインジェクションキー（"as"および"on"で始まるキー）を除去するために、cleanseConfig()をassembleLayoutFromPost()や各種FieldsControllerのアクションに追加しています。しかし、ElementIndexesController::actionFilterHud()のfieldLayoutsパラメータはサニタイズされずにFieldLayout::createFromConfig()に直接渡されており、同様の挙動インジェクション攻撃チェーンを可能にしていました。この問題はバージョン5.9.13で修正されました。

Craft CMS

• Craft CMS 5.6.0 以上 5.9.13 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Potential authenticated Remote Code Execution via malicious attached Behavior  Advisory  craftcms/cms  GitHub

1. クラスまたはコードを選択する外部から制御された入力の使用(CWE-470) [その他]

1. CVE-2026-33157

1. National Vulnerability Database (NVD) : CVE-2026-33157
2. 関連文書 : Release 5.9.13  craftcms/cms  GitHub
3. 関連文書 : Merge commit from fork  craftcms/cms@97e90b4  GitHub

• [2026年03月31日]
    掲載