対して次の通りセキュリティリリースを行いました。内容を確認のうえバージョンアップまたはパッチの適用をお願いいたします。存在する次の脆弱性に対する修正を含んでいます。詳細については以下を参照して下さい。リクエストに含まれる制御文字が適切に除去されない不具合が発見されました。リクエストに含まれる制御文字を事前に除去する処理を行っています。これは以下のような問題を防ぐための予防的な対策に当たります。バイトを含む文字列によって意図しない挙動を示す関数(バイナリセーフでない関数)が存在することが知られています。バイトを除去することで防ぐことが可能です。https://github.com/openpne/OpenPNE3-doc/blob/e955f2ac/secure-coding-guideline/secure-coding-guideline.ja.rst#null-byte-attack必須項目であるパラメータに制御文字のみを含む文字列を渡すことによって、通常発生する必須項目のエラーを回避される場合があります。http://trac.openpne.jp/ticket/1566これらの対策は、ユーザ画面・管理画面におけるリクエストに対しては既に行われております。リクエストについてのみ上述の対策が適用されない状態となっておりました。バイト等の制御文字を含めることで脆弱性に繋がる問題は確認されていません。バイト等がパラメータから除去されている前提で実装されており、このフィルタが機能しない場合に予期しない影響を及ぼす可能性があります。おいては当リリースにおける修正を適用することを推奨します。されるアップデートを適用して下さい。この脆弱性についてアップデートを行わずに回避する方法はありません。対策版へのマイナーバージョンアップもしくは修正パッチの適用を実施してください。[修正パッチ]マイナーバージョンアップ手順パッケージに同梱されているバージョンアップ手順書に記載されている通りに作業を実施してください。各バージョンのマイナーバージョンアップ手順書は以下からも確認することができます。