CVSS 9.0 以上
CVE-2026-63190
要約
FearlessCMS の 0.1.4 より前のバージョンでは、admin/ 配下の 5 つのデバッグ/テスト用 PHP スクリプトが、isLoggedIn() による認証確認、CSRF 対策、十分な path 検証なしに特権的な操作を行います。PHP 組み込み開発サーバーでは、router.php が正規化されていない管理画面 URI の接頭辞を確認するため、/./admin/ によって管理者ログインを回避してこれらのスクリプトを直接実行でき、任意の .md ファイルの書き込み、ディレクトリの列挙やファイルの読み取り、反射型・格納型のクロスサイトスクリプティング、ディスク枯渇が可能になります。この問題はバージョン 0.1.4 で修正されています。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
FearlessCMSPHPDockerJavaScript
このタグの新着を RSS で受け取る: FearlessCMS / PHP / Docker / JavaScript(使い方)
判定の理由
- CVSS 9.0 以上