TYPO3 Broken Access Control in File Abstraction Layer (CVE-2026-49738)

脆弱性概要 脆弱性名称: TYPO3-CORE-SA-2026-016: ファイル抽象レイヤーにおけるアクセス制御の欠陥 公開日: 2026年6月9日 脆弱性の種類: アクセス制御の欠陥 重大度: 低 CVSS スコア: 4.0 (AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/IA:N/SC:N/SI:N/SA:N) CVE 番号: CVE-2026-49738 CWE 番号: CWE-22 影響範囲 影響を受けるバージョン: - 10.0.0～10.4.56 - 11.0.0～11.5.50 - 12.0.0～12.4.45 - 13.0.0～13.4.30 - 14.0.0～14.3.2 解決策 対策: 問題の修正のため、以下のバージョンへアップグレードしてください： - 10.4.57 ELTS - 11.5.51 ELTS - 12.4.46 ELTS - 13.4.31 LTS - 14.3.3 LTS 問題の詳細 パス許可チェックは で単なる文字列プレフィックス比較のみを実行し、ディレクトリ区切り文字の境界を要求していなかったため、プロジェクトルートの に対して のようなパスが誤って有効と判定される問題が生じていました。ファイル抽象レイヤーへのアクセス権限を有する管理者ユーザーは、プロジェクトルート外のディレクトリを指す新しいファイルストレージ定義を作成して、このパスチェックを回避することが可能です。 提案事項 における提言に従ってください。 メールリストに登録してください。 一般的な説明 セキュリティに関連するすべてのコード変更はタグ付けされており、当社のレビューシステムで容易に探せるようになっています。 著者情報 著者: Oliver Hader 所属: ドイツ国のホーフにある TYPO3 GmbH のコア開発者 経歴: Oliver は2005年より TYPO3 を利用しており、2007年より TYPO3 コアチームの一員となりました。2014年に大学に戻り、インターネットネットワーク科学の大学院修士課程を修了し、現在では主に TYPO3 に関する高度な Web テクノロジーのテーマを研究しています。余暇には、ドイツの北バイエิร์น地方にあるホーフ近郊の山岳地域でのサイクリングを愛しています。 フッター情報 著作権: © 2026 TYPO3 協会 法的事項: 法的免責事項 プライバシーポリシー: プライバシーポリシー 言語選択: 言語の選択

目標達成 すべての支援者に感謝 — 100%達成しました！

TYPO3 Broken Access Control in File Abstraction Layer (CVE-2026-49738)

目標達成すべての支援者に感謝 — 100%達成しました！