JVNDB-2026-010769

AlchemyCMSにおけるEval インジェクションに関する脆弱性

AlchemyはRuby on Railsで書かれたオープンソースのコンテンツ管理システムエンジンです。バージョン7.4.12および8.0.3より前のバージョンでは、アプリケーションがRubyの`eval()`関数を使用して、`Alchemy::ResourcesHelper#resource_url_proxy`内の`resource_handler.engine_name`属性で提供される文字列を動的に実行していました。この脆弱性は`app/helpers/alchemy/resources_helper.rb`の28行目に存在します。コードは`# rubocop:disable Security/Eval`でセキュリティリンティングを明示的に無効化しており、危険な関数の使用が認識されていたものの適切に対処されていなかったことを示しています。`engine_name`は管理者設定によって影響を受けるモジュール定義から取得されるため、認証された攻撃者がRubyサンドボックスを回避し、ホストOS上で任意のシステムコマンドを実行できる可能性があります。バージョン7.4.12および8.0.3では`eval()`を`send()`に置き換えることでこの問題を修正しました。

AlchemyCMS

• AlchemyCMS 7.4.12 未満
• AlchemyCMS 8.0.0 以上 8.0.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Authenticated Remote Code Execution (RCE) via eval injection in ResourcesHelper  Advisory  AlchemyCMS/alchemy_cms  GitHub

1. Eval インジェクション(CWE-95) [その他]

1. CVE-2026-23885

1. National Vulnerability Database (NVD) : CVE-2026-23885
2. 関連文書 : Merge pull request #3563 from AlchemyCMS/backport/8.0-stable/pr-3562  AlchemyCMS/alchemy_cms@563c4ce  GitHub
3. 関連文書 : Release v7.4.12  AlchemyCMS/alchemy_cms  GitHub
4. 関連文書 : Release v8.0.3  AlchemyCMS/alchemy_cms  GitHub
5. 関連文書 : Merge pull request #3564 from AlchemyCMS/backport/7.4-stable/pr-3562  AlchemyCMS/alchemy_cms@55d03ec  GitHub

• [2026年04月13日]
    掲載