JVNDB-2026-034320

Concrete CMSにおけるテンプレートエンジンで使用される特殊な要素の不適切な無効化に関する脆弱性

Concrete CMS 9から9.5.2までは、テーマカスタマイザーにおける未検証のスタイル値を通じたサーバーサイドテンプレートインジェクション（SSTI）の脆弱性があります。カスタマイザー経由で送信された値（ColorStyleやFontFamilyStyle、ImageStyleなどの関連Styleクラスによって処理されるカラーチャンネルやその他のスタイルプロパティ）は、LESS構文の無効化なしにサーバー側でコンパイルされるLESSソースに挿入されるため、テーマカスタマイズ権限を持つユーザーが任意のLESSディレクティブを注入できます。@import（インライン）ディレクティブを注入することで、攻撃者はサーバー上の任意のファイルを読み取り、PHPストリームラッパーを利用して内部ネットワークリソースへアクセスできます。コンパイルされた出力には漏洩したファイルの内容が含まれ、サイトの公開されているCSSキャッシュに書き込まれるため、データベースの認証情報、秘密鍵、その他のアプリケーションシークレットが露出し、サーバーサイドリクエストフォージェリを引き起こします。Concrete CMSのセキュリティチームは、この脆弱性に対してCVSS v4.0スコア5.9（ベクター：CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N）を付与しました。報告者のTenzai氏およびYonatan Drori氏に感謝します。

Concrete CMS

• Concrete CMS 9.0.0 以上 9.5.3 未満

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

参考情報を参照して適切な対策を実施してください。

1. テンプレートエンジンで使用される特殊な要素の不適切な無効化(CWE-1336) [その他]

1. CVE-2026-81910

1. National Vulnerability Database (NVD) : CVE-2026-81910

• [2026年09月17日]
    掲載