概要
ドイツ発のECプラットフォーム JTL Shop のバージョン 5.2.0〜5.7.1 に、サーバーサイドテンプレートインジェクション（SSTI）脆弱性（CVE-2026-54390）が発見されました。CVSSスコアは 9.8（Critical）、未認証での攻撃が可能です。
Smarty テンプレートエンジンへ渡されるユーザー入力がサニタイズされていないため、攻撃者は悪意のあるテンプレート構文を注入できます。特にバージョン 5.4.0〜5.7.1 では、Smarty モディファイア（unserialize、file_get_contents 等の登録済み関数）を利用して、ウェブサーバーのドキュメントルートにウェブシェルを書き込み、Webサーバーユーザー権限で任意のコマンドを実行することが可能です。
また、データベース認証情報や暗号化キーなどのサーバーサイドの機密情報の読み取りも可能とされています。
CVSSベクトル
| 項目 | 値 |
|---|---|
| Attack Vector | Network |
| Attack Complexity | Low |
| Privileges Required | None（未認証） |
| User Interaction | None |
| CWE | CWE-1336（Improper Neutralization of Special Elements in a Template Engine） |
影響を受けるソフトウェア
| 製品 | 影響バージョン | 修正バージョン | 備考 |
|---|---|---|---|
| JTL Shop | 5.2.0〜5.7.1 | 5.7.2以降 | 全バージョンでSST読み取り可 |
| JTL Shop | 5.4.0〜5.7.1 | 5.7.2以降 | このバージョン以降ではRCEも可能 |
修正バージョンと回避策
推奨対応: JTL Shop 5.7.2 以降へのアップデートを推奨します。
暫定対策:
- WAF（Web Application Firewall）によるテンプレート構文を含むリクエストのフィルタリング
- 外部からのアクセスをIPアドレスで制限することも一時的な緩和になります
関連リンク
データソース: NVD (NIST)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。