公開日:2021/05/21 最終更新日:2021/05/21

JVN#53910556
複数の PHP工房製品における複数のクロスサイトスクリプティングの脆弱性

概要

PHP工房が提供する複数の製品には、複数のクロスサイトスクリプティングの脆弱性が存在します。

影響を受けるシステム

CVE-2021-20723

  • 【MailForm01】PHP多機能メールフォームフリー(無料)版 プログラムファイル上部記載の最終更新日が2014年12月12日から2018年7月27日までのバージョン
CVE-2021-20724
  • 【Telop01】PHPテロップ・ニュースティッカー・ヘッドラインCMSフリー(無料)版 ver1.0.1 およびそれ以前
CVE-2021-20725
  • 【Calendar01】(3デバイス対応)PHP営業日・スケジュールカレンダーフリー(無料)版 ver1.0.1 およびそれ以前

詳細情報

PHP工房が提供する複数の製品には、次に挙げる複数のクロスサイトスクリプティングの脆弱性が存在します。

  • 反射型クロスサイトスクリプティング (CWE-79) - CVE-2021-20723
    CVSS v3 CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N 基本値: 4.7
    CVSS v2 AV:N/AC:H/Au:N/C:N/I:P/A:N 基本値: 2.6
  • 管理者画面における反射型クロスサイトスクリプティング (CWE-79) - CVE-2021-20724
    CVSS v3 CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N 基本値: 6.1
    CVSS v2 AV:N/AC:H/Au:N/C:N/I:P/A:N 基本値: 2.6
  • 管理者画面における反射型クロスサイトスクリプティング (CWE-79) - CVE-2021-20725
    CVSS v3 CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N 基本値: 6.1
    CVSS v2 AV:N/AC:H/Au:N/C:N/I:P/A:N 基本値: 2.6

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • 当該製品を使用しているサイトにアクセスしたユーザのウェブブラウザ上で、任意のスクリプトを実行される - CVE-2021-20723
  • 当該製品の管理者画面にアクセスしたユーザのウェブブラウザ上で、任意のスクリプトを実行される - CVE-2021-20724, CVE-2021-20725

対策方法

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。

対象ファイルへコードの追加を行う
アップデートの実施が難しい場合、開発者が提供する情報をもとに、対象ファイルへコードを追加してください。

参考情報

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: apple502j 氏

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2021-20723
CVE-2021-20724
CVE-2021-20725
JVN iPedia JVNDB-2021-000042