Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

ヘッドレスCMS「Directus」に権限昇格の脆弱性 - アップデートが公開

ヘッドレスCMSの「Directus」に権限昇格が可能となる脆弱性が明らかとなった。アップデートが提供されている。

「同9.6.0」および以前のバージョンのファイルアップロード機能に、「クロスサイトスクリプティング(XSS)」の脆弱性「CVE-2022-24814」が明らかとなったもの。

脆弱性を悪用して細工したHTMLファイルをアップロードし、任意の「JavaScript」を実行させることが可能。GitHubによる共通脆弱性評価システム「CVSSv3.1」のベーススコアは「8.8」と評価されている。NVDによる評価は「6.1」。

以前、類似の脆弱性「CVE-2022-22116」「CVE-2022-22117」が明らかとなり、1月に公開された「同9.4.2」にて対策が施されたが、対応が不十分でバイパスが可能だったという。

同月にSynopsysの研究者が脆弱性を発見し、報告。開発チームでは脆弱性に対処した「同9.7.0」を3月にリリースした。その後も更新が実施されており、4月14日の段階で最新版は「同9.8.0」となっている。

(Security NEXT - 2022/04/14 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

メール誤送信で委託先担当者のメアド流出 - 東京都
かんぽ生命を装う偽メールやSMSに注意
「Apache Tomcat」のクラスタリング運用に注意 - 必要に応じて対策を
「EC-CUBE」向けプラグイン「簡単ブログ for EC-CUBE4」に脆弱性
トレンド製「スマートホームスキャナー」のインストーラに脆弱性 - 最新版の利用を
説明会申込フォーム、他者情報が閲覧できる状態に - 大阪産業局
Zyxel製品の深刻な脆弱性、4月に修正済み - 報告者がサイレントパッチの危険性を指摘
一部Facebook連携で別人より個人情報が閲覧可能に - アート販売サイト
メール誤送信、住民のメールアドレスが流出 - 佐那河内村
メールで個人情報含む表計算ファイルを誤送信 - 東京都レクリエーション協会