| Title | OpenMageのMagentoにおける危険なタイプのファイルの無制限アップロードに関する脆弱性 |
|---|---|
| Summary | Magento Long Term Support (LTS) は、Magento Community Edition eコマースプラットフォームの非公式なコミュニティ主導プロジェクトであり、高い後方互換性を提供しています。バージョン20.17.0以前では、OpenMage LTSの製品カスタムオプションのファイルアップロードにおいて、不完全なブロックリスト（`forbidden_extensions = php,exe`）を使用して危険なファイルアップロードを防止していました。このブロックリストは、`.phtml`、`.phar`、`.php3`、`.php4`、`.php5`、`.php7`、`.pht`などの代替のPHP実行可能拡張子を使用することで簡単に回避されていました。ファイルは公開アクセス可能な`media/custom_options/quote/`ディレクトリに保存されますが、このディレクトリは一部の設定でサーバー側の実行制限がなく、スクリプトの実行が明示的に拒否されていない場合、リモートコード実行が可能となります。この問題はバージョン20.17.0で修正されました。 |
| Possible impacts | 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | April 20, 2026, midnight |
| Registration Date | April 27, 2026, 11:21 a.m. |
| Last Update | April 27, 2026, 11:21 a.m. |
| CVSS3.0 : 重要 | |
| Score | 8.8 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| OpenMage |
| Magento 20.17.0 未満 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年04月27日] 掲載 |
April 27, 2026, 11:21 a.m. |
| Summary | Magento Long Term Support (LTS) is an unofficial, community-driven project provides an alternative to the Magento Community Edition e-commerce platform with a high level of backward compatibility. Prior to version 20.17.0, the product custom option file upload in OpenMage LTS uses an incomplete blocklist (`forbidden_extensions = php,exe`) to prevent dangerous file uploads. This blocklist can be trivially bypassed by using alternative PHP-executable extensions such as `.phtml`, `.phar`, `.php3`, `.php4`, `.php5`, `.php7`, and `.pht`. Files are stored in the publicly accessible `media/custom_options/quote/` directory, which lacks server-side execution restrictions for some configurations, enabling Remote Code Execution if this directory is not explicitly denied script execution. Version 20.17.0 patches the issue. |
|---|---|
| Publication Date | April 21, 2026, 2:16 a.m. |
| Registration Date | April 21, 2026, 4:09 a.m. |
| Last Update | April 24, 2026, 2:45 a.m. |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:openmage:magento:*:*:*:*:lts:*:*:* | 20.17.0 | ||||