独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は10月11日、Exmentにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。三井物産セキュアディレクション株式会社の佐藤大陸氏とGMOサイバーセキュリティ byイエラエ株式会社の石井健太郎氏が報告を行っている。影響を受けるシステムは以下の通り。
Exment v6.1.4 およびそれ以前
Exment v5.0.11 およびそれ以前
※開発者はExment v4およびそれ以前バージョンについて、サポートが終了しているPHPバージョンを使用しているため、本脆弱性の有無を確認していない
株式会社カジトリが提供するExmentには、下記の影響を受ける可能性がある複数の脆弱性が存在する。
・不適切なアクセス権限付加（CVE-2024-46897）
→当該製品にログイン可能でテーブル管理の権限をもつユーザによって、権限がないテーブルの情報を窃取されたり、改ざんされたりする
・格納型クロスサイトスクリプティング（CVE-2024-47793）
→当該製品にログインしたユーザが、カスタム列（列種類は「ファイル」もしくは「画像」）がレイアウトされた編集画面にアクセスした場合、ユーザのウェブブラウザ上で任意のスクリプトを実行される
JVNでは開発者が提供する情報をもとに、最新版にアップデートするよう呼びかけている。なお開発者は、本脆弱性を修正したバージョンとしてv6.1.5およびv5.0.12をリリースしている。
また開発者は、最新版へのアップデートによる対応が難しいユーザ向けに個々のファイルを修正して対応する方法を説明している。
