JVN#10377257
a-blog cms における複数の脆弱性

a-blog cms には、複数の脆弱性が存在します。

• a-blog cms Ver.2.10.23 より前のバージョン (Ver.2.10.x系)
• a-blog cms Ver.2.9.26 より前のバージョン (Ver.2.9.x系)
• a-blog cms Ver.2.8.64 より前のバージョン (Ver.2.8.x系)

有限会社アップルップルが提供する a-blog cms には、次の複数の脆弱性が存在します。

• 反射型のクロスサイトスクリプティング (CWE-79) - CVE-2019-6033

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N	基本値: 6.1
  CVSS v2	AV:N/AC:M/Au:N/C:N/I:P/A:N	基本値: 4.3

• Cookie 処理に起因するスクリプトインジェクション (CWE-74) - CVE-2019-6034

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N	基本値: 6.1
  CVSS v2	AV:N/AC:M/Au:N/C:N/I:P/A:N	基本値: 4.3

ユーザのウェブブラウザ上で、任意のスクリプトを実行される可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。

ワークアラウンドを実施する
以下の回避策を適用することで本脆弱性の影響を回避することが可能です。

• 以下のディレクトリ配下を削除する
  /ablogcms/php/vendor/pear/http_request2/tests/