JVN#53910556
複数の PHP工房製品における複数のクロスサイトスクリプティングの脆弱性

PHP工房が提供する複数の製品には、複数のクロスサイトスクリプティングの脆弱性が存在します。

CVE-2021-20723

• 【MailForm01】PHP多機能メールフォームフリー（無料）版 プログラムファイル上部記載の最終更新日が2014年12月12日から2018年7月27日までのバージョン

• 【Telop01】PHPテロップ・ニュースティッカー・ヘッドラインCMSフリー（無料）版 ver1.0.1 およびそれ以前

• 【Calendar01】（3デバイス対応）PHP営業日・スケジュールカレンダーフリー（無料）版 ver1.0.1 およびそれ以前

PHP工房が提供する複数の製品には、次に挙げる複数のクロスサイトスクリプティングの脆弱性が存在します。

• 反射型クロスサイトスクリプティング (CWE-79) - CVE-2021-20723

  CVSS v3	CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N	基本値: 4.7
  CVSS v2	AV:N/AC:H/Au:N/C:N/I:P/A:N	基本値: 2.6

• 管理者画面における反射型クロスサイトスクリプティング (CWE-79) - CVE-2021-20724

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N	基本値: 6.1
  CVSS v2	AV:N/AC:H/Au:N/C:N/I:P/A:N	基本値: 2.6

• 管理者画面における反射型クロスサイトスクリプティング (CWE-79) - CVE-2021-20725

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N	基本値: 6.1
  CVSS v2	AV:N/AC:H/Au:N/C:N/I:P/A:N	基本値: 2.6

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 当該製品を使用しているサイトにアクセスしたユーザのウェブブラウザ上で、任意のスクリプトを実行される - CVE-2021-20723
• 当該製品の管理者画面にアクセスしたユーザのウェブブラウザ上で、任意のスクリプトを実行される - CVE-2021-20724, CVE-2021-20725

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。

対象ファイルへコードの追加を行う
アップデートの実施が難しい場合、開発者が提供する情報をもとに、対象ファイルへコードを追加してください。