JVN#00876083
baserCMSにおける複数の脆弱性

baserCMSユーザー会が提供するbaserCMSには、複数の脆弱性が存在します。

• baserCMS 5.1.3より前のバージョン（baserCMS 5系）
• baserCMS 4.8.2より前のバージョン（baserCMS 4系）

baserCMSユーザー会が提供するbaserCMSには、次の複数の脆弱性が存在します。

• 記事編集画面におけるスラッグの取り扱い不備に起因した格納型クロスサイトスクリプティング（CWE-79）
  • CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N 基本値 5.4
  • CVE-2024-46996
• メールフォーム設定画面における格納型クロスサイトスクリプティング（CWE-79）
  • CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N 基本値 5.4
  • CVE-2024-46998
• エラーページ生成処理の不備に起因した反射型クロスサイトスクリプティング（CWE-81）
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N 基本値 6.1
  • CVE-2024-46995
• 記事編集画面およびコンテンツ一覧画面における入力データの取り扱い不備に起因した格納型クロスサイトスクリプティング（CWE-79）
  • CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N 基本値 5.4
  • CVE-2024-46994

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 細工された入力が行われた後、管理画面にアクセスしたユーザのウェブブラウザ上で任意のスクリプトが実行される。また、細工されたデータを含むページが公開された場合、そのページを閲覧したウェブブラウザ上で任意のスクリプトが実行される（CVE-2024-46996、CVE-2024-46998）
• 当該製品の管理画面にログインした状態で細工されたページにアクセスした場合、ユーザのウェブブラウザ上で任意のスクリプトを実行される（CVE-2024-46995、CVE-2024-46994）

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。
当該脆弱性は、次のバージョンで修正されています。

• baserCMS 5.1.3（baserCMS 5系）
• baserCMS 4.8.2（baserCMS 4系）