v0.31.9.0 Security Patch: Critical Stored XSS, FileEditor Defects, and Hardening

脆弱性概要 v0.31.9.0 — セキュリティ強化・パッチリリース - 公開日：2026-05-08 - タイプ：セキュリティパッチ - 重大度：Critical - High 影響範囲 このリリースでは、認証レイヤ、ファイルエディタ、コンテンツ管理モジュールおよびバックアップサブシステムにまたがる10個の脆弱性を解消しました。 そのうち3件は、セキュリティ研究者 @offset による責任ある開示（responsible disclosure）によるものです。 修正内容 セキュリティ修正 1. [重大] 保存型 XSS — ブログコンテンツ（html_purity のバイパス） - 問題： のカスタムバリデーションルールはブログコンテンツフィールドに適用されているものの、 によるクリーニング済み出力が更新操作時に永続化されていませんでした。 - 修正：作成および更新操作における の出力の永続化を強制しました。 2. [重大] 保存型 XSS — ページコンテンツ（html_purity のバイパス） - 問題：Pages モジュールにおいて、バリデーションは実行されていましたが、更新時に生データ（未クリーニング値）がデータベースに書き込まれていました。 - 修正：作成および編集エンドポイントにおいて、 の出力の永続化を強制しました。 追加の強化措置 CSRF アーキテクチャの大幅見直し - 内の を集約化し、すべての AJAX リクエストへ CSRF トークンを自動的に注入するようにしました。 - elfinder ルートは により除外されており、複数リクエストにわたるセッションにおける安定したトークンでの 403 エラーを防ぎます。 HTMLPurifier の強化 - から URI スキームを削除し、 による XSS バイパスを防止しました。 - を無効化し、 を有効化して を自動的に付与するようにしました。 - ブログおよびページのコントローラでは、 の出力を常に永続化するようにしました。 IP スポイフィング修正 - からの生データ / の参照を削除し、CI4 の に置き換え、 を尊重するようにしました。 生データ $SERVER 参照の排除 - 、 、 、 にわたるすべての生データ 、 、 参照を、CI4 の 、 、 ヘルパーに置き換えました。 FileEditor における RCE 防止 - によるブラックリストを / / に追加しました。 - に による上書き保護を追加し、 には を用いた境界検証を追加しました。 SQL リストア機能の強化 - において、SQL 文のホワイトリスト（ 、 、 など）および危険なコマンドのブラックリスト（ 、 、 、 など）を実装しました。 - パス移動攻撃への保護を追加し、バックアップファイルは必ず 内に配置されることを要求しました。 ハードコードされた認証情報の削除 - 設定からプレーンテキストのパスワードを削除しました。 - を用いたハッシュ化されたパスワードを実装し、 をデフォルトで有効化しました。 その他の変更 DevGate CLI 同期 - は、インストール時に 内の管理者認証情報を自動で更新するようにしました。 プロキシ設定 - に、Cloudflare および Nginx 逆プロキシの設定例をコメントとして追加しました。 URI スキーム - 未使用の および新規の URI スキームを 設定から削除しました。 アップグレード手順 データベースマイグレーションは不要です。 新ファイルをプルまたはダウンロードしてください。 アプリケーションキャッシュをクリア： 。 をカスタマイズしている場合、新しい拡張子のホワイトリストと互換性があることを確認するため、更新された および メソッドをレビューしてください。 逆プロキシ（Cloudflare、Nginx など）を使用している場合は、IP 検出を有効にするため を設定してください。 謝辞 @offset に特に感謝いたします。3件の脆弱性（保存型 XSS × 2、FileEditor における破壊的操作のバイパス）を責任ある開示として報告いただき、これらは本バージョンで修正済みです。 完全な変更履歴 0.31.8.9 — 0.31.9.0 資産 特定の資産情報は記載されていません。

目標達成すべての支援者に感謝 — 100%達成しました！

v0.31.9.0 Security Patch: Critical Stored XSS, FileEditor Defects, and Hardening

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

v0.31.9.0 Security Patch: Critical Stored XSS, FileEditor Defects, and Hardening

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！