JVN#31701509
MicroEngine メールフォームにおける複数の脆弱性

マイクロエンジン株式会社が提供する MicroEngine メールフォームには、複数の脆弱性が存在します。

• MicroEngine メールフォーム バージョン 1.1.0 から 1.1.8

マイクロエンジン株式会社が提供する MicroEngine メールフォームには、次の複数の脆弱性が存在します。

• アップロードするファイルの検証が不十分 (CWE-434) - CVE-2023-27397

  CVSS v3	CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N	基本値: 3.7
  CVSS v2	AV:N/AC:M/Au:N/C:N/I:P/A:N	基本値: 4.3

• ディレクトリトラバーサル (CWE-22) - CVE-2023-27507

  CVSS v3	CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N	基本値: 3.7
  CVSS v2	AV:N/AC:M/Au:N/C:N/I:P/A:N	基本値: 4.3

当該製品の「ファイルアップロード機能」および「サーバー保存オプション」を有効にしている場合、遠隔の第三者によってサーバ上に任意のファイルを保存され、これを実行される可能性があります。

アップデートする
開発者が提供する情報をもとに、MicroEngine メールフォーム バージョン 1.1.9 およびそれ以降の最新版へアップデートしてください。

ワークアラウンドを実施する
開発者は、ワークアラウンドも提示しています。

詳細は、開発者が提供する情報をご確認ください。