CubeCart に複数の脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は11月17日、CubeCart における複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。三井物産セキュアディレクション株式会社の佐藤元氏が報告を行っている。影響を受けるシステムは以下の通り。

CubeCart 6.5.3 より前のバージョン

　CubeCart Limited が提供する CubeCart には、下記の影響を受ける可能性がある複数の脆弱性が存在します。

・クロスサイトリクエストフォージェリ（CVE-2023-38130）
→遠隔の第三者によって、システム内のデータを削除される

・ディレクトリトラバーサル（CVE-2023-42428）
→管理権限を持つユーザによって、システム内のディレクトリやファイルを削除される

・ディレクトリトラバーサル（CVE-2023-47283）
→管理権限を持つユーザによって、システム内のファイルを取得される

・OSコマンドインジェクション（CVE-2023-47675）
→管理権限を持つユーザによって、任意のOSコマンドが実行される

　JVNでは、CVE-2023-38130、CVE-2023-42428、CVE-2023-47283については、開発者が提供する情報をもとに、最新版へアップデートするよう呼びかけている。本脆弱性は CubeCart 6.5.3 で修正されている。

　CVE-2023-47675については、修正が提供されておらず、開発者は危険な PHP 関数を無効にすることを推奨している。