XOOPS用モジュールXooNIpsにSQLインジェクションはじめ複数の脆弱性 | ScanNetSecurity
2026.05.03(日)

XOOPS用モジュールXooNIpsにSQLインジェクションはじめ複数の脆弱性

独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は11月6日、XOOPS用モジュールXooNIpsの複数の脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。

脆弱性と脅威 セキュリティホール・脆弱性
独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は11月6日、XOOPS用モジュールXooNIpsの複数の脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。株式会社Flatt Securityのstypr氏が報告を行った。影響を受けるシステムは以下の通り。

XooNIps 3.49 およびそれ以前

JVNによると、理化学研究所 脳神経科学研究センター 統合計算脳科学連携部門 神経情報基盤開発ユニットが提供するXOOPS 用モジュールXooNIpsには、以下の複数の脆弱性が存在する。

SQLインジェクション(CWE-89) - CVE-2020-5659
反射型クロスサイトスクリプティング(CWE-79) - CVE-2020-5662
格納型クロスサイトスクリプティング(CWE-79) - CVE-2020-5663
信頼できないデータのデシリアライズ(CWE-502) - CVE-2020-5664

想定される影響としては各脆弱性により異なるが、当該製品にログイン済みのユーザによって、データベース内の情報を取得されたり、改ざんされたりする(CVE-2020-5659)、当該製品を使用しているユーザのウェブブラウザ上で任意のスクリプトを実行される(CVE-2020-5662)、(CVE-2020-5663)、当該製品にログイン済みのユーザによって信頼できないデータをデシリアライズされ任意のコードを実行される(CVE-2020-5664)等の影響を受ける可能性がある。

JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。

《ScanNetSecurity》

関連記事

特集

PageTop

アクセスランキング

  1. 保険代理店への出向者による不適切な情報持ち出し ~ T&Dホールディングス 調査結果 発表

    保険代理店への出向者による不適切な情報持ち出し ~ T&Dホールディングス 調査結果 発表

  2. たった一人で 90 億ドルのランサムウェア被害を防いでいた CISA のセキュリティ専門家が職場を追われる

    たった一人で 90 億ドルのランサムウェア被害を防いでいた CISA のセキュリティ専門家が職場を追われる

  3. FileZen 専用サーバへの不正アクセス、内閣府沖縄総合事務局が保有の個人情報漏えいの可能性

    FileZen 専用サーバへの不正アクセス、内閣府沖縄総合事務局が保有の個人情報漏えいの可能性

  4. 従来型 VPN の脆弱性を根本から解消する新サービス「HENNGE Mesh Network」提供

    従来型 VPN の脆弱性を根本から解消する新サービス「HENNGE Mesh Network」提供

  5. 「制度の趣旨目的と異なる」~ SCS評価制度を引き合いにしたセキュリティ製品の営業活動に経産省が注意喚起

    「制度の趣旨目的と異なる」~ SCS評価制度を引き合いにしたセキュリティ製品の営業活動に経産省が注意喚起

ランキングをもっと見る
PageTop