注目★★★★★JVN
SOYシリーズにCVSS 9.8の脆弱性、更新を推奨
30秒で把握
- 1SOY Calendar・CMS・Galleryに複数の脆弱性を確認
- 2CVE-2026-78032はCVSS 9.8で認証不要の影響
- 3XSSとデシリアライゼーションでコード実行の可能性
要約
齋藤毅氏が提供するSOY Calendar、SOY CMS、SOY Galleryに複数の脆弱性が確認された。対象は各製品の指定バージョン以前で、CVE-2026-73827、CVE-2026-77838、CVE-2026-78238はクロスサイト・スクリプティング、CVE-2026-78032は信頼できないデータのデシリアライゼーションに分類される。後者のCVSS基本値は9.8で、認証不要かつネットワーク経由で機密性・完全性・可用性に影響する。前者では管理者権限のユーザーが任意のスクリプトを実行でき、第三者がサーバー権限で任意のコードを実行できる可能性もある。
あなたへの影響
SOYシリーズを運用するチームは、対象バージョンの確認と更新を近日中に実施し、外部入力や管理画面への不審なアクセスも確認してください。
推奨：デシリアライゼーションは、細工したデータを復元処理させて任意コード実行につながることがある処理です。