つみかさね

CVE-2026-110469

Critical(10)

WidzialniCMSのアップロードAPI脆弱性 CVE-2026-110469：影響範囲と対応方法

公開日: 2026-11-10データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
WidzialniCMSWidzialni2.5未満

対応ガイド

high|対応必須セキュリティ修正影響: 限定的

推奨アクション

  1. 1WidzialniCMSのバージョンを確認する
  2. 22.5以降へアップデートする
  3. 3アップデートが困難な場合はupload.phpへのアクセスを制限する

影響対象

WidzialniCMS利用者

対応不要な人

  • ✓WidzialniCMSを使用していない
  • ✓バージョン2.5以降を使用中

補足

  • -未認証でファイルアップロード可能なため、速やかな対応を推奨します。CVE-2026-110468と合わせて同一バージョンで修正されます
CVEWidzialniCMSファイルアップロード

30秒で判断

  • 対応が必要な人: WidzialniCMSを使用しているサイト運営者（バージョン2.5未満）
  • 対応不要な人: WidzialniCMSを使用していない人、すでに2.5以降にアップデート済みの人
  • 確認コマンド: WidzialniCMSの管理画面またはソースコード内のバージョン表記を確認

概要

コンテンツ管理システム「WidzialniCMS」に、CVE-2026-110468と同種の任意ファイルアップロードの脆弱性が見つかりました。本件は/panel/upload.phpエンドポイントが対象で、権限チェックに使われるパラメータをクライアント側から自由に指定できること、さらにuploadPathパラメータの検証が不十分であることが原因です。

これにより、認証されていない攻撃者がサーバー上の任意の場所に任意のファイルをアップロードできる状態になっていました。アップロードしたファイルの内容次第で、サーバー上で任意のコードを実行される可能性（Remote Code Execution）につながります。この問題はバージョン2.5で修正されています。

CVSSベクトル

項目値
CVSSスコア10.0 (Critical)
CVSSバージョン4.0
攻撃元区分ネットワーク
必要な特権レベル不要
ユーザー関与不要

影響を受けるソフトウェア

製品ベンダー影響を受けるバージョン修正バージョン
WidzialniCMSWidzialni2.5 未満2.5

修正バージョンと回避策

  • WidzialniCMSをバージョン2.5以降に更新してください。本脆弱性はCVE-2026-110468と同じバージョンで修正されているため、1回の更新で両方に対応できます。
  • 更新が難しい場合は、/panel/upload.phpエンドポイントへの外部からのアクセスを一時的に制限することを検討してください。
  • アップロード先ディレクトリでスクリプトの実行権限を無効化する（Webサーバー設定でのPHP実行禁止など）ことも、追加の防御策として有効です。

関連リンク

データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVSS

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-110469
CERT.PL:https://cert.pl/posts/2026/11/CVE-2026-110468
Widzialni:https://widzialni.org/funkcjonalnosci-widzialni-cms,sd,mg,0,175
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC), CISA Known Exploited Vulnerabilities Catalog
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。