JVNVU#95350607
フィールドロジック製DataCubeにおける複数の脆弱性

株式会社フィールドロジックが提供するDataCubeには、複数の脆弱性が存在します。

• DataCube3 すべてのバージョン
• DataCube4 バージョン1.0.1.50より前のバージョン

株式会社フィールドロジックが提供するDataCubeには、次の複数の脆弱性が存在します。

• リクエストの直接送信（CWE-425）
  • CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 基本値 7.5
  • CVE-2024-25830
• 反射型クロスサイトスクリプティング（CWE-79）
  • CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N 基本値 6.1
  • CVE-2024-25831
• アップロードするファイルの検証不備（CWE-434）
  • CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H 基本値 8.8
  • CVE-2024-25832
• SQLインジェクション（CWE-89）
  • CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N 基本値 5.3
  • CVE-2024-25833

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 当該製品にログインすることなく管理者パスワードを取得される（CVE-2024-25830）
• 当該製品にログインしているユーザーが細工されたWebページにアクセスすると、ユーザーのウェブブラウザ上で任意のスクリプトを実行される（CVE-2024-25831）
• ユーザによって危険なファイルをアップロードされ、結果として当該製品上でコードを実行される（CVE-2024-25832）
• 当該製品にログインすることなく任意のSQLクエリを実行される（CVE-2024-25833）

ベンダに問い合わせる
出荷済み製品の対策については、ベンダにお問い合わせください。