JVNVU#96141589
PHP FormMail Generator で作成した PHP コードに複数の脆弱性

PHP FormMail Generator は、PHP アプリケーションや WordPress を使って作成されているウェブサイト上に簡易なウェブフォームを埋め込むための PHP コードを生成するウェブサービスです。PHP FormMail Generator によって作成された PHP コードには、複数の脆弱性が存在します。

• 2016年12月17日より前に PHP FormMail Generator で生成した PHP コード

危険なタイプのファイルの無制限アップロード (CWE-434) - CVE-2016-9492
生成されたファイル form.lib.php では、ハードコードされた危険なファイル拡張子リストにもとづいて、アップロードされるファイルのチェックを行っています。また、アップロードファイルの末尾に短いランダムな文字列を追加するような処理を行っています。ファイル拡張子リストは PHP ファイルを示すファイル拡張子をすべて含んでいるわけではないので、アップロードされるファイル名を推測された場合、PHP コードを実行される可能性があります。

クロスサイトスクリプティング (CWE-80) - CVE-2016-9493
生成された PHP フォームには name および message フィールドの入力を適切に検証しない問題があります。任意のスクリプトを含む投稿内容がアプリケーションに格納され、管理者が管理画面にアクセスした際に、管理者のウェブブラウザ上で当該スクリプトが実行される可能性があります。

PHP フォームの管理者のウェブブラウザ上で任意のスクリプトが実行される可能性があります。また、アップロードされるファイル名が推測された場合、サーバ上で PHP コードを実行される可能性があります。

ワークアラウンドを実施する
次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。

• 2016年12月17日以降の PHP FormMail Generator では CVE-2016-9492 の問題に対応した PHP コードを生成します。影響のあるユーザはフォームを再生成するか、手動でパッチを適用してください。
• 2017年3月8日現在、CVE-2016-9493 の対応が行われているか確認できていません。問題となるフィールドの処理において PHP htmlentities() を適用する形に変更するなどの対策を行ってください。あるいは、当該製品以外のフォームを使用することを検討してください。