独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は7月31日、PowerCMSにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。VCSLabのViettel Cyber Security thanhtt74（Tran Thi Thanh）氏、namdi（Do Ich Nam）氏、quanlna2（Le Nguyen Anh Quan）氏が報告を行っている。
影響を受けるシステムは以下の通り。

PowerCMS 6.7およびそれ以前（PowerCMS 6.x系）
PowerCMS 5.3およびそれ以前（PowerCMS 5.x系）
PowerCMS 4.6およびそれ以前（PowerCMS 4.x系）

　アルファサード株式会社が提供するPowerCMSには、下記の影響を受ける可能性がある複数の脆弱性が存在する。

・反射型クロスサイトスクリプティング（CVE-2025-36563）
→製品の管理者が細工されたURLにアクセスすると、管理者のブラウザ上で任意のスクリプトが実行される

・格納型クロスサイトスクリプティング（CVE-2025-41391）
→製品ユーザーが細工されたページにアクセスすると、当該ユーザーのブラウザ上で任意のスクリプトが実行される

・ファイルアップロードにおけるパストラバーサル（CVE-2025-41396）
→製品ユーザーによって、任意のファイルが上書きされる

・バックアップリストアにおけるパストラバーサル（CVE-2025-46359）
→製品の管理者によって、改ざんしたバックアップファイルをリストアされることにより任意のコードが実行される

・CSVファイル中の数式要素の無害化不備（CVE-2025-54752）
→製品ユーザーが不正に作成したエントリーを、別のユーザーがCSVファイルとしてダウンロードして自身の環境で開くとコードが実行される

・アップロードするファイルの検証が不十分（CVE-2025-54757）
→製品ユーザーがアップロードした不正なファイルに製品の管理者がアクセスすると、管理者のブラウザ上で任意のスクリプトが実行される

　JVNでは、開発者が提供する情報をもとに最新版にアップデートするよう呼びかけている。

元の記事を読む

編集部おすすめ