Craft CMS Craft CMS の脆弱性（CVE-2025-35939）

何が起きた

Web サイトを作るソフト Craft CMS で、ログインしていない人が送った値（PHP のプログラムなど）が、サーバー上の決まった場所にあるセッションファイルに、そのまま保存されてしまう弱点が見つかりました。ログインが必要なページに来た人をログイン画面へ送るとき、戻り先の URL を無害化せずに保存していたことが原因です。実際の攻撃での悪用が確認されています。NVD の評価では、ネットワーク経由で、権限なしに、利用者の操作なしで悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Craft CMS を使って Web サイトを運営している人・組織が対象です。CVE の記録では、5.7.5 より前と、4.15.3 より前のバージョンが影響を受けます。CISA は、この弱点が CVE-2024-58136 と組み合わせて悪用されうること（CVE-2025-32432 として示されたもの）を伝えています。

何をすればいい

Craft CMS を 5.7.5 以降、または 4.15.3 以降に更新されているか確認してください。修正版では、戻り先の URL を無害化してからセッションに保存するようになっています。あわせて、Craft CMS の公式の案内を確認してください。

やることチェックリスト

• 5.x 系は 5.7.5 以降に更新する
• 4.x 系は 4.15.3 以降に更新する
• 使っている Craft CMS の版を確認する

用語メモ

CMS

専門知識がなくても Web サイトの記事やページを作って管理できるソフトウェアです。

セッションファイル

サイトを見ている人ごとの状態を覚えておくために、サーバーに作られるファイルです。

PHP

Web サイトを動かすのによく使われるプログラミング言語です。