Formwork はユーザー作成時に権限を不適切に管理する

この脆弱性を悪用されると、攻撃者はFormwork CMSの完全な制御権を獲得できます。エディタロールのユーザーが管理者権限を持つアカウントを作成することで、データベースへのアクセス、ファイルシステムの改ざん、設定の変更など、あらゆる操作を実行できるようになります。これにより、機密情報の漏洩、Webサイトの改ざん、さらにはサーバー全体の侵害につながる可能性があります。攻撃者は、CMSを悪意のあるコンテンツを配信したり、他のシステムへの攻撃の足がかりとして利用したりする可能性があります。

Organizations using Formwork CMS, particularly those with multiple users and a reliance on the 'editor' role for content management, are at risk. Shared hosting environments where multiple CMS instances share the same server are also at increased risk, as a compromise of one instance could potentially lead to the compromise of others.

• php: Examine Formwork CMS configuration files for unusual user roles or permissions. • generic web: Monitor access logs for POST requests to account creation endpoints with suspicious parameters. • generic web: Check CMS logs for successful account creations with administrative roles by users with the 'editor' role.

# Example: Grepping access logs for account creation attempts
grep 'POST /admin/users/create' access.log

1. 2026-02-21Disclosure

   disclosure

1. 予約済み2026-02-18
2. 公開日2026-02-21
3. 更新日2026-02-24
4. EPSS 更新日2026-03-23

この脆弱性への最も効果的な対策は、Formwork CMSをバージョン2.3.4にアップデートすることです。アップデートが困難な場合は、一時的な回避策として、管理者ロールの作成を制限するカスタムコードを実装することを検討してください。また、Webアプリケーションファイアウォール（WAF）を導入し、不正なアカウント作成試行を検知・ブロックすることも有効です。アクセスログを監視し、異常なアカウント作成アクティビティを特定することも重要です。