jackq XCMS（3fab5342cc509945a7ce1b8ec39d19f701b89261 までのバージョン）に脆弱性が発見されました。影響を受けるのは、コンポーネント Backend の Admin/Home/Controller/ProductImageController.class.php ファイルの Upload 関数です。この関数の File 引数を操作することで、制限なしにファイルをアップロードできる可能性があります。リモートから攻撃が実行可能です。この脆弱性に関するエクスプロイト情報は公開されており、悪用される可能性があります。本製品は継続的デリバリーのためローリングリリース方式を採用しているため、影響範囲や修正済みリリースのバージョン詳細は提供されていません。なお、本問題は早期にプロジェクトへイシューレポートを通じて通知されましたが、現時点では対応が行われていません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。