TYPO3 Form Framework Privilege Escalation & SQL Injection Vulnerability (CVE-2026-49741)

脆弱性の概要 脆弱性の名前: TYPO3-CORE-SA-2026-017: フォームフレームワークにおける権限昇格およびSQLインジェクション 公開日: 2026年6月9日 脆弱性の種類: 権限昇格およびSQLインジェクション 重大度: 高 影響を受けるバージョン: 14.0.0〜14.3.2 推奨CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N 参照リンク: CVE-2026-49741、CWE-83、CWE-862 影響範囲 バックエンドユーザーが データベーステーブルに対する書き込み権限を持つ場合、 経由でフォームフレームワークの永続化検証および権限チェックをバイパスし、フォーム定義レコードを直接作成、更新、または削除することができます。これにより、任意のフォーム設定を注入することが可能になり、 で解決済みだった攻撃ベクトル（SQLインジェクションおよび権限昇格を含む）が再度有効になります。 修正方案 上記の問題が修正された TYPO3 バージョン 14.3.3 LTS へのアップグレードをお勧めします。 其他情報 問題の記述: バックエンドユーザーが 経由でフォームフレームワークの永続化検証と権限チェックをバイパスし、SQLインジェクションと権限昇格を引き起こします。 解決策: TYPO3 14.3.3 LTS へのアップグレード。 謝辞: この問題を報告してくださった Selçuk Güney に感謝いたします。また、TYPO3 コアおよびセキュリティチームのメンバーである Oliver Hader がこの問題を修正しました。 一般的なアドバイス: の推奨事項に従い、 メーリングリストの購読をお勧めします。 一般的な説明: セキュリティに関連するすべてのコード変更にはタグが付けられており、 内で簡単に検索できるような構成になっています。 著者情報 著者: Oliver Hader 役職: TYPO3 コア開発者 所属組織: TYPO3 GmbH、ドイツ・ホーフ 経歴: Oliver は2005年から TYPO3 を使用し、2007年に TYPO3 コアチームのメンバーとなりました。2014年に大学に復帰してインターネット・ネットワーク科学の修士課程を修了しました。現在は、特に TYPO3 に焦点を当てた高度なネットワーク技術について研究しています。趣味はサイクリングです。 フッター情報 著作権表示: © 2026 TYPO3 アソシエーション 法務関連事項: 法的告知事項、プライバシーポリシー スローガン: Open. Sustainable. A Digital Public Good.（オープンで、持続可能なデジタル公共財。） 言語選択: 言語

目標達成 すべての支援者に感謝 — 100%達成しました！

TYPO3 Form Framework Privilege Escalation & SQL Injection Vulnerability (CVE-2026-49741)

目標達成すべての支援者に感謝 — 100%達成しました！