a-blog cms の CVE-2025-36560 などが FIX：XSS や SSRF の組み合わせとセッション乗っ取りの可能性

High-Risk Flaws in a-blog cms: CVE-2025-36560 Scores Critical 9.2 on CVSS Scale

2025/05/15 SecurityOnline — appleple が開発する、人気の CMS である a-blog cms に、複数のセキュリティ上の欠陥が存在することを、JPCERT/CC が公表した。これらの脆弱性は、パストラバーサル／クロスサイト・スクリプティング (XSS)／サーバ・サイド・リクエスト・フォージェリ (SSRF)／ログ・インジェクションなどの多岐にわたり、Web サイトとユーザーに深刻なリスクをもたらす。

この JPCERT/CC の情報では、a-blog cms の各種バージョンに影響を及ぼす、複数の脆弱性が特定されている。具体的には、以下の通りである。

パストラバーサル：CVE-2025-27566 (CVSSv4：5.1）：この脆弱性は、バックアップ機能におけるパス検証の不備に起因する。悪用するには管理者権限が必要となるが、サーバ上の任意のファイルの取得／削除につながる可能性がある。

クロスサイト・スクリプティング：CVE-2025-32999 (CVSSv4：4.0)：この問題は、エントリ編集画面内の、特定のフィールドに存在する。この脆弱性を悪用するには、コントリビューター以上の権限が必要である。悪用が成功すると、対象システムにログインしている全ユーザーの Web ブラウザ上で、任意のスクリプト実行の可能性が生じる。

サーバ・サイド・リクエスト・フォージェリ：CVE-2025-36560 (CVSSv4：9.2)：このアドバイザリでは、SSRF の脆弱性についても言及されているが、具体的な詳細は提供されていない。

ログ出力の不適切な無効化：CVE-2025-41429 (CVSSv4 :2.1)：このアドバイザリでは、ログ出力に関する不適切な無効化の脆弱性についても言及されているが、具体的な詳細は提供されていない。

JPCERT/CC は、「これらの脆弱性の組み合わせにより、正当なユーザーのセッションが、攻撃者に乗っ取られる可能性がある」と警告している。

影響を受ける a-blog cms のバージョンは、以下のとおりである：

• a-blog cms versions prior to Ver. 3.1.43 (Ver. 3.1.x series)
• a-blog cms versions prior to Ver. 3.0.47 (Ver. 3.0.x series)
• a-blog cms Ver. 2.11.75 and earlier (Ver. 2.11.x series)
• a-blog cms Ver. 2.10.63 and earlier (Ver. 2.10.x series)
• a-blog cms Ver. 2.9.52 and earlier (Ver. 2.9.x series)
• a-blog cms Ver. 2.8.85 and earlier (Ver. 2.8.x series)
• a-blog cms Ver. 2.7.x and earlier versions (now unsupported)

これらの脆弱性に対処するには、直ちに対策を講じることが重要となる。

• ソフトウェアの更新：ユーザーに対して強く推奨されるのは、a-blog cms の最新バージョンへの更新である。それにより、一連の脆弱性が修正され、潜在的な攻撃からシステムが保護される。
  .
• 回避策の適用：脆弱性 CVE-2025-36560／CVE-2025-41429 については、開発者が回避策を提供している。これらの回避策の詳細な実装手順については、開発者からの情報の参照が不可欠となる。

a-blog cms の複数の脆弱性が FIX しましたが、その中でも CVE-2025-36560 は、CVSSv4 スコアが 9.2 の深刻な脆弱性です。ご利用のチームは、アップデートをお急ぎください。なお、関連トピックとして、2025/03/28 にも「a-blog cms の脆弱性 CVE-2025-31103：任意のファイル保存とスクリプト実行の恐れ」という記事を投稿しています。よろしければ、CMS で検索と併せて、ご参照ください。