脆弱性が存在することが判明いたしました。この脆弱性を悪用された場合、悪意のある第三者の攻撃により、ディレクトリトラバーサルによる設置サーバーの任意のファイルのダウンロード、またクロスサイトスクリプティングによるフィッシングサイトへの誘導などの危険性があります。使用している場合は、最新版へのアップデートもしくは修正内容の差分を確認し、ご自身での修正の対応をお願いいたします。バージョン番号の確認方法は下記の通りです。メールフォーム機能を提供するウェブシステムです。ファイル添付機能があり、そのファイル添付機能のブラウザ上でのプレビュー表示時の入力チェックのロジックが不十分だったため、悪意のある第三者により、ディレクトリトラバーサル(更新から30分以内の任意のファイルが対象)とクロスサイトスクリプティングの脆弱性が存在します。添付ファイル機能の仕様により、更新から30分以内といった制限があるものの、悪意のある第三者によってウェブ越しに設置サーバーの任意のファイルをダウンロードすることが可能になり、機密情報の漏洩などの可能性があります。ファイルを最新のものに置き換えてください。独自の修正を加えている場合は、適宜、修正を反映させてください。本件は株式会社トレードワークスの佐藤元様よりご指摘をいただきました。佐藤元様、IPA様、JPCERT/CC様、JPCERT/CCのご担当者様に厚くお礼申し上げます。この脆弱性情報ページを公開しました。dounokouno[at]gmail.comTwitterFacebookはてブPocketSNSで購読するTwitterFacebookFeedlyコメントを残すメールアドレスが公開されることはありません。名前メールサイト上に表示された文字を入力してください。