プラットフォーム
php
コンポーネント
simple-customer-relationship-management-system
修正版
1.0.1
SourceCodester Simple Customer Relationship Management System 1.0において、/create-ticket.phpにおけるクロスサイトスクリプティング（XSS）の脆弱性が確認されました。この脆弱性は、Description引数の不正な操作によって悪用され、攻撃者は悪意のあるスクリプトを挿入し、ユーザーを騙して実行させることが可能です。影響を受けるバージョンは1.0です。攻撃はリモートから可能であり、既に公開されています。
このXSS脆弱性を悪用されると、攻撃者はユーザーがSimple Customer Relationship Management Systemにログインしているセッションを乗っ取り、機密情報を窃取したり、システムを改ざんしたりする可能性があります。例えば、顧客情報、取引履歴、その他の機密データが漏洩するリスクがあります。また、攻撃者は悪意のあるリダイレクトを実行し、ユーザーを偽のログインページに誘導して、さらに認証情報を盗むことも可能です。この脆弱性は、Webアプリケーションのセキュリティを著しく損なう可能性があります。
この脆弱性は、既に公開されており、悪用される可能性があります。KEVへの登録状況は不明ですが、公開されていることから、攻撃者による悪用が懸念されます。NVDおよびCISAの公開日は2026年4月2日です。攻撃者によるスキャンや、自動化された攻撃ツールによる悪用が考えられます。
Organizations using Simple Customer Relationship Management System version 1.0, particularly those with publicly accessible instances or those handling sensitive customer data, are at risk. Shared hosting environments where multiple users share the same server are also at increased risk, as a compromised account could be used to exploit the vulnerability and impact other users.
• php / web:
curl -I 'http://your-target/create-ticket.php?Description=<script>alert("XSS")</script>' | grep -i 'X-Powered-By'• generic web:
curl -s 'http://your-target/create-ticket.php?Description=<script>alert("XSS")</script>' | grep 'alert("XSS")'disclosure
エクスプロイト状況
EPSS
0.03% (9% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への対応策として、まず、SourceCodesterから提供される最新バージョンへのアップデートを強く推奨します。アップデートが利用できない場合、入力値の検証とエスケープ処理を厳格に実施することで、XSS攻撃のリスクを軽減できます。WAF（Web Application Firewall）を導入し、XSS攻撃のパターンを検知・防御することも有効です。また、Content Security Policy (CSP) を設定することで、ブラウザが読み込むリソースを制限し、攻撃の影響範囲を限定できます。
CRMシステムを修正されたバージョンにアップデートしてください。パッチまたは、create-ticket.phpファイルのクロスサイトスクリプティング (XSS) 脆弱性を修正した最新バージョンを入手するために、ベンダーにお問い合わせください。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-5325は、SourceCodester Simple Customer Relationship Management System 1.0の/create-ticket.phpにおけるクロスサイトスクリプティング（XSS）脆弱性です。Description引数の操作により攻撃が可能で、リモートからの悪用が考えられます。
はい、影響を受けます。SourceCodester Simple Customer Relationship Management System 1.0を使用している場合、この脆弱性により、機密情報の窃取やシステム改ざんのリスクがあります。
SourceCodesterから提供される最新バージョンへのアップデートを強く推奨します。アップデートが利用できない場合は、入力値の検証とエスケープ処理を厳格に実施してください。
はい、既に公開されており、悪用される可能性があります。攻撃者によるスキャンや、自動化された攻撃ツールによる悪用が考えられます。
SourceCodesterの公式ウェブサイトまたはセキュリティアドバイザリページで確認してください。