独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は5月14日、a-blog cmsにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。Viettel Cyber Securityのhaidv35（Dinh Viet Hai）氏とVCSLab of Viettel Cyber Securityのvcth4nh（Vu Chi Thanh）氏が報告を行っている。
影響を受けるシステムは以下の通り。

・CVE-2025-27566、CVE-2025-32999
a-blog cms Ver. 3.1.43より前のバージョン（Ver. 3.1.x系）
a-blog cms Ver. 3.0.47より前のバージョン（Ver. 3.0.x系）
※すでにサポートが終了しているa-blog cms Ver. 2.11以前のバージョンも本脆弱性の影響を受ける

・CVE-2025-36560、CVE-2025-41429
a-blog cms Ver. 3.1.43およびそれ以前のバージョン（Ver. 3.1.x系）
a-blog cms Ver. 3.0.47およびそれ以前のバージョン（Ver. 3.0.x系）
a-blog cms Ver. 2.11.75およびそれ以前のバージョン（Ver. 2.11.x系）
a-blog cms Ver. 2.10.63およびそれ以前のバージョン（Ver. 2.10.x系）
a-blog cms Ver. 2.9.52およびそれ以前のバージョン（Ver. 2.9.x系）
a-blog cms Ver. 2.8.85およびそれ以前のバージョン（Ver. 2.8.x系）
※すでにサポートが終了しているa-blog cms Ver. 2.7.x以前のバージョンも本脆弱性の影響を受ける

　有限会社アップルップルが提供するa-blog cmsには、下記の影響を受ける可能性がある複数の脆弱性が存在する。

・パストラバーサル（CVE-2025-27566）
→サーバー上の任意のファイルを取得されたり削除されたりする

・クロスサイトスクリプティング（CVE-2025-32999）
→当該製品にログインしているユーザーのウェブブラウザ上で任意のスクリプトを実行される

・サーバサイドリクエストフォージェリ（CVE-2025-36560）
→細工したリクエストを処理することで機微な情報にアクセスされる
　CVE-2025-41429と組み合わせることで、正規ユーザーのセッションを乗っ取られる

・ログ出力内容の不十分な無害化（CVE-2025-41429）
→CVE-2025-36560と組み合わせることで、正規ユーザーのセッションを乗っ取られる

　JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。

元の記事を読む

編集部おすすめ