概要
Concrete CMS 9から9.5.2までは、テーマカスタマイザーにおける未検証のスタイル値を通じたサーバーサイドテンプレートインジェクション（SSTI）の脆弱性があります。カスタマイザー経由で送信された値（ColorStyleやFontFamilyStyle、ImageStyleなどの関連Styleクラスによって処理されるカラーチャンネルやその他のスタイルプロパティ）は、LESS構文の無効化なしにサーバー側でコンパイルされるLESSソースに挿入されるため、テーマカスタマイズ権限を持つユーザーが任意のLESSディレクティブを注入できます。@import（インライン）ディレクティブを注入することで、攻撃者はサーバー上の任意のファイルを読み取り、PHPストリームラッパーを利用して内部ネットワークリソースへアクセスできます。コンパイルされた出力には漏洩したファイルの内容が含まれ、サイトの公開されているCSSキャッシュに書き込まれるため、データベースの認証情報、秘密鍵、その他のアプリケーションシークレットが露出し、サーバーサイドリクエストフォージェリを引き起こします。Concrete CMSのセキュリティチームは、この脆弱性に対してCVSS v4.0スコア5.9（ベクター：CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N）を付与しました。報告者のTenzai氏およびYonatan Drori氏に感謝します。
技術情報
- CVSS: 5.9
- 公開日: 2026-09-17T18:33:03+09:00
- 更新日: 2026-09-17T18:33:03+09:00
参考リンク
対処方法
該当ソフトウェアの最新版への更新、または開発元が提供する緩和策の適用を推奨します。運用環境に応じて事前検証の上で実施してください。
免責
本記事は公開情報をもとに自動集約された速報です。正確性・完全性は保証できません。必ず一次情報（上記リンク等）をご確認ください。