TYPO3 EXT-SA-2026-011: Faceted Search 拡張機能における複数の脆弱性 脆弱性の概要 TYPO3 拡張機能「Faceted Search」( ) には、以下の複数のセキュリティ脆弱性が存在します。 XML 外部エンティティ注入 (XXE): ファイルインデクサーが OXML を解析する際に外部エンティティの解析が無効化されていないため、攻撃者は悪意のあるファイルを構築してローカルファイルの読み取りや、外部への HTTP 接続の発生を誘発できます。 情報漏洩: インデクサーは任意のテーブル名とフィールド名を受け付けるため、バックエンドユーザーが機密データを検索インデックスへコピーすることが可能です。 パストラバーサル: ファイルインデクサーはディレクトリパスを正規化しないため、ユーザーがサーバー上の任意のファイルのインデックス化を許可してしまいます。 影響範囲 影響を受けるバージョン: 7.0.0、6.0.0、6.6.0、5.6.1 及びそれ以前のバージョン 深刻度: 中程度 CVSS v4.0 スコア: AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:L/VA:N/SC:L/SI:N/SA:N 修正方法 以下のバージョンへ拡張機能をアップデートしてください。 7.0.1 6.6.1 5.6.2 以下のリンクからアップデートをダウンロードできます。 ke_search 7.0.1 ke_search 6.6.1 ke_search 5.6.2 ユーザーは拡張機能のアップデートを至急行いことを推奨します。 参考リンク CVE-2026-46722 CVE-2026-46723 CVE-2026-46724 CVE-611 CWE-668 CWE-27