CVE-2025-58053は、Galetteのバージョン1.2.0以前に存在する特権昇格の脆弱性です。攻撃者は、偽造されたPOSTリクエストを送信することで、既存のアカウントを更新し、不正に高い権限を獲得する可能性があります。この脆弱性は、Galetteのバージョン1.2.0で修正されています。最新バージョンへのアップデートを強く推奨します。
この脆弱性を悪用されると、攻撃者はGaletteシステム内で管理者権限を獲得し、会員データを改ざん、削除、または不正にアクセスする可能性があります。さらに、システム設定を変更したり、他のユーザーアカウントを操作したりすることも可能になります。この脆弱性は、Galetteを運用する非営利団体にとって、会員情報の機密性やシステムの安定性を脅かす重大なリスクとなります。攻撃者は、会員データベースへの不正アクセスや、システムの完全な制御を試みる可能性があります。
この脆弱性は、2025年12月19日に公開されました。現時点では、公開されているPoCは確認されていませんが、脆弱性の性質上、悪用される可能性は否定できません。CISA KEVリストへの登録状況は不明です。Galetteのセキュリティコミュニティからの情報公開に注意し、最新のセキュリティ情報を常に確認することが重要です。
Non-profit organizations utilizing Galette for membership management are at risk. Specifically, deployments with older versions of Galette (≤ 1.2.0) and those lacking robust input validation on account update forms are particularly vulnerable. Shared hosting environments where multiple Galette instances share resources could also experience broader impact if one instance is compromised.
• wordpress / composer / npm:
grep -r 'POST /account/update' /var/www/galette/app/config/routing.php• generic web:
curl -I http://your-galette-instance/account/update | grep HTTP/1.1 200 OKdisclosure
エクスプロイト状況
EPSS
0.07% (20% パーセンタイル)
CISA SSVC
この脆弱性への最も効果的な対策は、Galetteをバージョン1.2.0以降にアップデートすることです。アップデートが直ちに実行できない場合は、入力検証を強化し、POSTリクエストの送信元を厳密にチェックするなどの対策を講じることで、攻撃のリスクを軽減できます。また、WAF（Web Application Firewall）を導入し、不正なPOSTリクエストを検知・遮断することも有効です。アップデート後、システムにログインし、会員データに不正な変更がないか確認することで、脆弱性の影響を検証できます。
Actualice Galette a la versión 1.2.0 o superior. Esta versión corrige la vulnerabilidad de escalada de privilegios. La actualización se puede realizar a través del panel de administración de Galette o descargando la nueva versión del sitio web oficial y reemplazando los archivos.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2025-58053は、Galetteのバージョン1.2.0以前において、偽造されたPOSTリクエストによって特権を昇格させることができる脆弱性です。
Galetteのバージョンが1.2.0以前を使用している場合、この脆弱性の影響を受けます。
Galetteをバージョン1.2.0以降にアップデートすることで、この脆弱性を修正できます。
現時点では、公開されている悪用事例は確認されていませんが、脆弱性の性質上、悪用される可能性は否定できません。
Galetteの公式ウェブサイトまたはセキュリティアナウンスメントをご確認ください。