独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は11月6日、XOOPS用モジュールXooNIpsの複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。株式会社Flatt Securityのstypr氏が報告を行った。
影響を受けるシステムは以下の通り。

XooNIps 3.49 およびそれ以前

JVNによると、理化学研究所 脳神経科学研究センター 統合計算脳科学連携部門 神経情報基盤開発ユニットが提供するXOOPS 用モジュールXooNIpsには、以下の複数の脆弱性が存在する。

SQLインジェクション（CWE-89） - CVE-2020-5659
反射型クロスサイトスクリプティング（CWE-79） - CVE-2020-5662
格納型クロスサイトスクリプティング（CWE-79） - CVE-2020-5663
信頼できないデータのデシリアライズ（CWE-502） - CVE-2020-5664

想定される影響としては各脆弱性により異なるが、当該製品にログイン済みのユーザによって、データベース内の情報を取得されたり、改ざんされたりする（CVE-2020-5659）、当該製品を使用しているユーザのウェブブラウザ上で任意のスクリプトを実行される（CVE-2020-5662）、（CVE-2020-5663）、当該製品にログイン済みのユーザによって信頼できないデータをデシリアライズされ任意のコードを実行される（CVE-2020-5664）等の影響を受ける可能性がある。

JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。

元の記事を読む

編集部おすすめ