JVNDB-2026-013505

socialengineにおけるサーバサイドのリクエストフォージェリの脆弱性

SocialEngineのバージョン7.8.0およびそれ以前には、/core/link/previewエンドポイントにブラインドサーバーサイドリクエストフォージェリの脆弱性が存在します。この脆弱性は、uriリクエストパラメータを通じてユーザーが入力した値が、外部へのHTTPリクエストを構築する前に適切にサニタイズされていないことに起因します。認証されたリモート攻撃者は、任意のURL（内部ネットワークのアドレスやループバックアドレスを含む）を指定して、サーバーに攻撃者が制御する宛先へのHTTPリクエストを発行させることができ、その結果、内部ネットワークの列挙や外部からのアクセスが意図されていないサービスへのアクセスを可能にします。

socialengine

• socialengine 7.8.0 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Karma(In)Security

• Karma(In)Security : SocialEngine <= 7.8.0 Blind Server-Side Request Forgery Vulnerability | Karma(In)Security

VulnCheck

• VulnCheck : SocialEngine <= 7.8.0 Blind SSRF via /core/link/preview  | Advisories | VulnCheck

1. サーバサイドのリクエストフォージェリ(CWE-918) [その他]

1. CVE-2026-41461

1. National Vulnerability Database (NVD) : CVE-2026-41461
2. 関連文書 : SocialEngine | Build Your community with Social Network Software

• [2026年04月30日]
    掲載