重要情報 脆弱性番号: TYPO3-EXT-SA-2025-008 影響を受ける拡張機能: "Front End User Registration" (sr_feuser_register) 脆弱性の種類: - リモートコード実行 (RCE) - 不適切な直接オブジェクト参照 (IDOR) 深刻度: Critical（重大） 影響を受けるバージョン: 5.1.0 ～ 12.4.8 CVSS v3.1 スコア: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C CVE 番号: CVE-2025-48200, CVE-2025-48205 CWE 番号: CWE-502, CWE-639 問題の説明 本拡張機能では、アップロード済みファイルのシリアライズされたオブジェクト表現が適切な検証なしで交換可能となっています。これにより、攻撃者は任意のシリアライズされたPHPオブジェクトを注入でき、サーバー側で逆シリアライズされることでリモートコード実行（RCE）を引き起こす可能性があります。 さらに、本拡張機能では、指定されたファイルIDのダウンロード権限が検証されないため、追加の認証なしで任意のファイルを開示・ダウンロードすることが可能となり、不適切な直接オブジェクト参照（IDOR）脆弱性に繋がります。 解決策 関連する脆弱性が修正された最新バージョン 12.5.0 への早期更新を推奨します。TYPO3 拡張機能マネージャー、packagist、または以下のリンクから更新をダウンロードできます： https://extensions.typo3.org/extension/download/sr_feuser_register/12.5.0/zip 謝辞 RCE 脆弱性の報告者の Johannes Seipelt 氏、IDOR 問題の報告者であるセキュリティチームメンバーの Torben Hansen 氏、および拡張機能の更新版を提供した Stanislas Roland 氏に感謝いたします。