CVE-2026-63190 in FearlessCMS
要約
〜によって VulDB • 2026年10月28日
FearlessCMSは、シンプルさとオープンソースを重視したフラットファイルの`content`管理システムです。バージョン0.1.4以前では、`admin/`ディレクトリ内の5つのデバッグ/テスト用PHPスクリプトが、`isLoggedIn()`による認証チェック、CSRF保護、適切な`path`検証なしで特権操作を実行します。組み込みのPHP開発サーバー（デフォルトのDocker展開を含む）では、`router.php`が正規化されていない管理URIプレフィックスをチェックする一方で、ファイルシステムはドットセグメントを解決するため、`/./admin/`によって管理者ログインゲートを回避し、これらのスクリプトが直接実行されます。
`admin/debug_save_flow.php`では、攻撃者が制御可能な`path`と`content`が`file_put_contents`に渡され、`content/`内またはその外への任意の`.md`ファイル書き込み（`path`トラバーサル経由）が可能となり、サイト改ざんや公開ページでの格納型JavaScriptの実行を招きます。また、`htmlspecialchars`によるエスケープなしで出力される`print_r($_POST)`の結果は、反射型クロスサイトスクリプティング(XSS)を引き起こします。
`admin/debug_content.php`の`path`パラメータは`scandir()`、`file_get_contents()`、および`posix_getpwuid()`に渡され、任意のディレクトリ列挙と`.md`ファイル読み込みを許可し、絶対パス、所有権、パーミッション、ハッシュ、そして`content`プレビューが露出します。
`admin/preview-handler.php`エンドポイントはJSON形式の`content`と`title`を受け取り、`content/_preview/`の下に列挙可能なファイルを作成するため、格納型クロスサイトスクリプティング(XSS)やディスク容量枯渇を招きます。さらに、`admin/testdebug.php`エンドポイントでは認証なしで`admin/testdebug.log`への追記が行われ、これもまたディスク容量枯渇を引き起こす可能性があります。
`admin/test_redirect.php`スクリプトはテスト用アーティファクトを公開していますが、入力をエスケープしており、それ自体がXSSのシンクとなるわけではありません。格納型スクリプトの実行によりセッション窃取や管理者アカウントの侵害が可能となり、影響を受けた`content`を表示した際に被害が生じます。読み込みと書き込みはPHPの特権で実行され、テストされた展開環境ではPHPがrootとして動作するため、ファイルシステムへの影響が増幅されます。
この問題はバージョン0.1.4で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.