「Ibexa DXP」「eZ Platform」に脆弱性 - PWハッシュ漏洩のおそれ

コンテンツマネジメントシステム（CMS）である「Ibexa DXP」「eZ Platform」に深刻な脆弱性が明らかとなった。

コンテンツを作成したり、変更したユーザーの機密情報が漏洩するおそれがある脆弱性「CVE-2022-41876」が明らかとなったもの。

GraphQLサーバの実装における脆弱性で、ユーザーアカウントに対する「GraphQLクエリ」により、パスワードハッシュをはじめ、ハッシュタイプ、メールアドレス、ログイン名などを認証なしに取得されるおそれがある。

CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「7.5」と評価する一方、重要度は「クリティカル（Critical）」とレーティングしている。

現地時間11月10日にリリースした「Ibexa DXP 4.2.3」「同3.3.28」「eZ Platform 2.5.31」にて修正を実施。できるかぎり早く修正を適用するよう強く推奨している。

（Security NEXT - 2022/11/17 ）ツイート