シンキングリード株式会社からの情報

F-RevoCRMバージョン7系以降（7系,8系）において脆弱性が発見されました。

■対象アプリケーション
F-RevoCRM 7.3.0　〜　F-RevoCRM 8.0.3 までのバージョン7系以降全て

■概要
クロスサイトスクリプティングにより、F-RevoCRMにログインしているユーザーのウェブブラウザ上で任意のスクリプトが実行される可能性があります。

■ 想定される影響
細工されたURLにアクセスした場合、当該サイトにログインしているユーザーのウェブブラウザ上で任意のスクリプトが実行される可能性があります。
この結果、意図しない操作が行われる、またはセッション情報が窃取されアカウントが不正に利用されるおそれがあります。

■深刻度
CVSS v3.0 基本値 6.1
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
CVSS v4.0 基本値 5.1
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N

■回避方法
F-RevoCRMにログインした状態のみ本脆弱性は有効となります。そのため、信頼性が低い外部サイトを参照する場合などはF-RevoCRMからログアウトした状態にしておく、あるいは別のブラウザを利用していただくことで回避することが可能です。
また、Proxyサーバなどで不適切なサイトへのアクセスを制限することも影響を軽減することが期待できます。

■対策
F-RevoCRM 8.0.4 までのアップデートを実施してください。
バージョンアップについてはGitHubに公開されているプログラムに付属のReadmeをご覧ください。
https://github.com/thinkingreed-inc/F-RevoCRM/releases/tag/v8.0.4

また、当社シンキングリードのサポート契約を締結されているお客様に対しましては個別のパッチ適用が完了しておりますのでご安心いただければと存じます。