TYPO3-EXT-SA-2026-026: 拡張機能 "Events 2" (events2) におけるアクセス制御の欠陥 脆弱性の概要 発表日: 2026年8月25日 コンポーネントタイプ: サードパーティ拡張機能（TYPO3のデフォルトインストールの一部ではない） コンポーネント: "Events 2" (events2) Composer パッケージ名: jweiland/events2 脆弱性の種類: アクセス制御の欠陥 影響を受けるバージョン: 10.2.11 まで 重大度: 高 推奨 CVSS v4.0: AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VH:VA:N/SC:N/SI:N/SA:N 参照リンク: CVE-2026-77144, CVE-2026-77145, CWE-639, CWE-915 影響範囲 フロントエンド管理プラグインが新しいイベントを作成する際、リクエストで主催者情報が指定されていない場合のみ、イベントを投稿ユーザーの主催者レコードに割り当てます。付随する権限チェックは、投稿ユーザーが主催者ロールを有していることのみを確認します。そのため、フロンテンドイベント管理へのアクセス権限を持つユーザーは、他の主催者に割り当てられたイベントを作成できてしまいます。（CVE-2026-77144） フロントエンド管理における更新フローの権限チェックでは、リクエストで指定されたイベントではなく、別件のイベントに対して検証が行われていました。そのため、フロンテンドイベント管理へのアクセス権限を持つユーザーは、他の主催者に属するイベントを変更できてしまいます。（CVE-2026-77145） 修正内容 更新バージョン 10.2.12 が公開されており、TYPO3 拡張機能マネージャー、Packagist および以下のリンクから入手可能です： https://extensions.typo3.org/extension/download/events2/10.2.12.zip ユーザーに拡張機能の早期更新を推奨します。 一般的なアドバイス TYPO3 のセキュリティガイドラインに記載されたアドバイスを遵守してください。