Craft CMS 任意のシステムファイル読み込み

この脆弱性は、攻撃者がCraft CMSのサーバー上でシステムファイルを読み出すことを可能にします。攻撃者は、メール通知テンプレートに悪用されたdataUrl関数を埋め込むことで、ファイルの内容をBase64エンコードされた文字列としてメール通知経由で外部に送信できます。これにより、機密情報（設定ファイル、ソースコードなど）が漏洩する可能性があります。攻撃者は、この情報を利用して、さらなる攻撃を仕掛ける可能性があります。この脆弱性は、サーバー全体のセキュリティを脅かす重大なリスクとなります。

Organizations using Craft CMS in environments where system notification templates are writable by untrusted users are at significant risk. This includes development environments, shared hosting environments, and deployments with overly permissive file permissions. Sites relying on Craft CMS for sensitive data processing or storage are particularly vulnerable.

• php / server:

find /path/to/craft/templates -name '*notification.php*' -print0 | xargs -0 grep -i 'dataUrl\(' 

• php / server:

journalctl -u php-fpm -f | grep -i "dataUrl"

• generic web: Inspect system notification email content for Base64-encoded strings that might represent file contents.

1. 2024-11-13Disclosure

   disclosure

1. 予約済み2024-11-06
2. 公開日2024-11-13
3. EPSS 更新日2026-04-02

この脆弱性への対応策として、まずCraft CMSをバージョン5.4.9以降にアップデートすることを推奨します。アップデートが困難な場合は、システム通知テンプレートへの書き込み権限を制限することで、攻撃のリスクを軽減できます。また、WAF（Web Application Firewall）を導入し、dataUrl関数の不正な使用を検知・ブロックするルールを設定することも有効です。ログ監視を強化し、不審なメール通知の送信を検知することも重要です。アップデート後、システムが正常に動作していることを確認してください。