JVN#26024080
The LuxCal Web Calendarにおける複数の脆弱性

LuxSoftが提供するThe LuxCal Web Calendarには、複数の脆弱性が存在します。

• The LuxCal Web Calendar 5.3.3M（MySQL version）より前のバージョン
• The LuxCal Web Calendar 5.3.3L（SQLite version）より前のバージョン

LuxSoftが提供するThe LuxCal Web Calendarには、次の複数の脆弱性が存在します。

• pdf.phpの処理におけるSQLインジェクション（CWE-89）
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L 基本値 7.3
  • CVE-2025-25221
• retrieve.phpの処理におけるSQLインジェクション（CWE-89）
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L 基本値 7.3
  • CVE-2025-25222
• dloader.phpの処理におけるパストラバーサル（CWE-22）
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N 基本値 5.8
  • CVE-2025-25223
• dloader.phpにおける重要な機能に対する認証の欠如（CWE-306）
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N 基本値 5.3
  • CVE-2025-25224

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• データベース内の情報を削除、改ざん、窃取されたりする（CVE-2025-25221、CVE-2025-25222）
• サーバー内の任意のファイルを取得される（CVE-2025-25223、CVE-2025-25224）

アップデートする
開発者が提供する情報をもとに、ソフトウェアのアップデートを行ってください。