TYPO3 EXT-SA-2026-023: 拡張機能「Event management and registration (sf_event_mgt)」における複数件の脆弱性 脆弱性の概要 公開日: 2026年8月25日 コンポーネントタイプ: サードパーティ拡張機能。この拡張機能はTYPO3のデフォルトインストールの一部ではありません。 コンポーネント: 「Event management and registration」(sf_event_mgt) Composerパッケージ名: derhansen/sf_event_mgt 脆弱性の種類: サーバーサイドテンプレートインジェクション (SSTI) 重大度: 高 推奨CVSS v4.0: AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 参照情報: CVE-2026-77128, CVE-2026-77129, CWE-862, CWE-1336 影響範囲 影響を受けるバージョン: 5.9.2以下、6.0.0 - 6.7.1、7.0.0 - 7.9.2、8.0.0 - 8.6.1、9.0.0 - 9.0.2 問題の詳細 1. 有効フィールド制限の回避: - この拡張機能は、ストレージリポジトリのクエリパラメータに対する有効フィールドの制限を強制適用していませんでした。 - 認証されていないリモートユーザーは、デマンド上書きパラメータを渡すことで、非公開または期間限定のイベントを表示できる場合があります。ただし、「disableOverrideDemand」プラグインの設定が有効な場合を除きます。 - この問題を悪用するには、「disableOverrideDemand」が無効である必要があります。 - CVE-2026-77128 2. サーバー設定情報の漏洩: - この拡張機能は、エディタで設定可能なメール件文字列をFluidテンプレートソースに制限なしで直接渡していました。 - エディタアクセス権限を保有するバックエンドユーザーは、イベントプラグインまたはバックエンドモジュール内でFluid ViewHelper構文を入力でき、これがサーバー設定、環境変数、およびアプリケーションのソースコードの公開を招き、リモートコードの実行につながる可能性があります。 - この問題を悪用するには、エディタアクセス権限を保有するバックエンドアカウント、またはバックエンドモジュールへのアクセス権限が必要です。 - CVE-2026-77129 修正方法 更新バージョン: 5.9.3、6.7.2、7.9.3、8.6.2、9.0.3 入手先: TYPO3拡張マネージャー、Packagist、および以下のリンクから入手可能： - https://extensions.typo3.org/extension/download/sf_event_mgt/5.9.3/zip - https://extensions.typo3.org/extension/download/sf_event_mgt/6.7.2/zip - https://extensions.typo3.org/extension/download/sf_event_mgt/7.9.3/zip - https://extensions.typo3.org/extension/download/sf_event_mgt/8.6.2/zip - https://extensions.typo3.org/extension/download/sf_event_mgt/9.0.3/zip 推奨事項 拡張機能のユーザーは、可能な限り速やかに拡張機能を更新してください。 お礼 脆弱性の報告および拡張機能の更新版の提供に協力したTYPO3セキュリティチームのメンバーTorben Hansenに感謝いたします。 一般的な推奨事項 TYPO3のセキュリティガイドに記載されている推奨事項に従ってください。