CVE-2026-46696 in October
要約
〜によって VulDB • 2026年09月15日
October Systemは、October Content Management System用のシステムモジュールを提供します。バージョン3.7.17および4.2.21より前のバージョンには、Twigサンドボックスのセキュリティポリシーに脆弱性があり、`cms.safe_mode`が有効な場合に連鎖的な回避が可能でした。LaravelセッションストアはTwigに対して無制限なメソッドアクセスで公開されており、Eloquentの`__call`フォワーディングを通じて到達可能な生SQL（raw SQL）メソッドは、ビルダーチェーン全体にわたってブロックされていませんでした。これらを組み合わせることで、CMSマークアップ編集権限を持つバックエンドユーザーは、生のSQL式を使用して任意のデータベース値を読み取り、バックエンド認証セッションキーに対して書き込むことができます。これにより、他の既存ユーザーとしてバックエンドセッションを偽造することが可能になります。影響範囲は限定されています。Safe Mode（安全モード）はニッチな機能であり、主にデモインストールや、信頼できないユーザーが意図的にCMSマークアップエディタへのアクセス権限を与えられるマルチテナントまたは共有編集シナリオで使用されます。標準的な本番環境のデプロイメントではSafe Modeは無効にされています。これは、通常のOctober CMSガイドラインに従い、バックエンドアクセス（マークアップ編集を含む）が信頼できる管理者のみに対して制限されており、その構成下ではSafe Modeなしでもマークアップを通じた直接PHPインジェクションが可能であるためです。この問題は、以下のすべての条件を満たすサイトでのみ発生します：`cms.safe_mode`が有効化されていること（デモまたは信頼できないエディタシナリオのための意図的なオプトイン）、CMSマークアップ編集権限を持つ少なくとも1人のバックエンドユーザーが存在し、そのユーザーがフル管理者として信頼されることを意図されていないこと、および低権限のユーザーがセッションを偽造できる既存のスーザーユーザアカウントが少なくとも1つ存在すること。この脆弱性はv3.7.17およびv4.2.21でパッチ済みです。Laravelセッションストアは現在プロキシにラップされ、明示的な読み取り/書き込みメソッドのサブセットのみを公開し、予約されたセッションキープレフィックス（`admin_auth`、`october_auth`、`login_*`、`_token`、およびその他のフレームワーク内部）への書き込みは拒否されます。生SQLおよび副問い合わせメソッド（`selectRaw`、`whereRaw`、`orderByRaw`、`joinSub`、関連するもの）は、`Query\Builder`、`Eloquent\Builder`、および`Eloquent\Model`上でブロックされ、`__call`フォワーディングチェーン全体でブロックリストが整合性を持たされました。`cms.safe_mode`を有効にするすべてのサイトは、最新のパッチ済みバージョンへのアップグレードを推奨します。回避策も利用可能です。CMSマークアップ編集アクセス権限を完全に信頼できる管理者のみに制限してください（これはあらゆるデプロイメントにおける標準的なOctober CMSの推奨事項です）。なお、`cms.safe_mode`を無効にすることは回避策ではありません。Safe Modeはこの問題が影響する境界線であり、それを無効にすると、マークアップエディタとサーバー間の唯一のサンドボックスが削除されてしまいます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.