注目★★★★★JVN
acmailer に XSS と認可不備、CVSS 8.7 と 6.1 の脆弱性
30秒で把握
- 1acmailer に XSS (CVE-2026-66358・CVSS 6.1) と認可不備 (CVE-2026-70408・CVSS 8.7) 検出
- 2CGI ver.4.1.2 以前・DB ver.1.2.2 以前が対象・任意スクリプト実行と権限昇格が可能
- 3提供元推奨の最新版へアップデート・アクセスログ確認と権限設定見直し必須
要約
エクストライノベーション株式会社が提供するメールマーケティングツール acmailer に複数の脆弱性が存在する。クロスサイトスクリプティング (CWE-79、CVE-2026-66358) により、ユーザーのブラウザで任意のスクリプトが実行される恐れがあり、CVSS 6.1 で評価された。認可処理の不備 (CWE-863、CVE-2026-70408) では、サブアカウントユーザーが管理権限を持つサブアカウントを作成でき、CVSS 8.7 の高リスク脆弱性と判定されている。acmailer CGI ver.4.1.2 以前および acmailer DB ver.1.2.2 以前が対象で、提供元より最新版へのアップデートが推奨される。
あなたへの影響
acmailer を運用する場合、即座に提供元から最新版を入手し、該当バージョンの使用を確認したうえでアップデートを実施すること。
推奨：特に CVSS 8.7 の認可不備は内部利用者による権限奪取につながるため、アクセス管理ログの確認も並行して推奨する。