CVE-2026-77635CVSS 9.8 超危険2026-08-25
CakePHP の FunctionsBuilder jsonPath の SQL インジェクションによりデータベースが掌握される
CakePHP の 5.1.10、5.2.15、5.3.7 より前のバージョンでは、FunctionsBuilder::jsonValue() メソッドが PostgresDriver を用いる際に jsonPath 引数への有効な絞り込みを欠いており、SQL インジェクション（CWE-89）というセキュリティ上の欠陥が存在します。利用者が制御できるデータがこの引数へ渡ると、攻撃者は悪意ある SQL 文を組み立てられ、データベース内容の漏洩、改竄、任意のシステム命令の実行に至ります。本脆弱性は上記の修正版へ更新していないすべての利用者、とりわけ PostgreSQL を用いる後段の応用に影響します。攻撃者は特定の要求を組み立てて発火させ、複雑な前提条件なしに遠隔からデータベースを操作できます。
コンポーネント
CakePHP は「設定より規約」の原則に従うことでウェブ応用の開発を簡便にすることを目的とした、PHP 向けの高速開発フレームワークです。
リスク
- データベースの完全な露出：攻撃者はデータベース内の機微情報、利用者の資格情報や業務データを読み取り、改変し、削除できます
- リモートコード実行：特定の構成では、攻撃者は SQL インジェクションを通じて OS の命令を実行し、サーバーを完全に制御し得ます
- 認証を要しない攻撃：応用が入力を厳格に検証していない場合、攻撃者はログインなしに HTTP 要求だけで脆弱性を発火させられます
出典
対処方法- CakePHP を直ちに 5.1.10、5.2.15、または 5.3.7 以降へ更新してください
- jsonPath 引数へ渡されるデータに厳格な許可リスト検証またはエスケープ処理を施してください
- データベースアカウントの権限を限定し、高い権限のアカウントで応用のデータベースへ接続しないでください
CVE-2026-32558CVSS 9.8 超危険2026-08-24
Affiliate Pro の未認証の権限昇格によりリモートコード実行に至る
Affiliate Pro - Affiliate Program for WooCommerce & WordPress の 8.9.1 以前のバージョンでは、権限検証のモジュールに論理上の欠陥があり、特権付与の誤り（CWE-266）というセキュリティ上の欠陥が存在します。未認証の攻撃者は特定の要求を組み立てて本人認証を回避し、自らの権限を直接昇格でき、サイトのデータ完全性とシステムの制御権を脅かします。本プラグインは特定のインターフェース呼び出しの場面で権限回避の脆弱性を持ち、攻撃者はネットワーク経由で遠隔から発火させ、未認可のアクセスやサイトの完全な乗っ取りに至らせられます。8.9.1 より後の版へ更新していないすべての利用者、WooCommerce と WordPress に基づく EC および内容管理の基盤が影響を受けます。攻撃者は対象サイトへ悪意ある要求を送るだけで悪用でき、利用者の操作を必要とせず遠隔から制御できます。
コンポーネント
Affiliate Pro は WooCommerce と WordPress のために設計されたアフィリエイト管理のプラグインで、販売代理の計画の管理、売上の追跡、報酬支払いの自動化に用いられます。
リスク
- 訪問者から管理者へ：本脆弱性を悪用すると、権限のない訪問者から管理者権限を持つ利用者へ直接昇格できます
- サイトの完全な制御：攻撃者は被害サイト上で商品の変更、利用者データの閲覧・改変・削除、悪意あるプラグインの導入、完全な権限を持つ新規アカウントの作成といった任意の操作を行えます
- 利用者の操作を要しない攻撃：自動化されたスクリプトからネットワーク要求を発するだけで脆弱性が発火し、利用者にリンクを押させるなどの誘導を必要としません
出典
対処方法- Affiliate Pro プラグインを直ちに 8.9.1 より後の安全な版へ更新してください
- サイト管理画面のログイン記録と異常な権限変更の挙動を監視してください
- ウェブアプリケーションファイアウォール（WAF）を設定し、当該プラグインの特定インターフェースへの未認可アクセスの試みを遮断してください
CVE-2026-77994CVSS 9.8 超危険2026-08-24
Joomla Page Builder CK の二次 SQL インジェクションによりリモートコード実行に至る
Joomla の拡張 Page Builder CK の 3.6.5 より前のバージョンでは、前段のページモデルの loadStyles メソッドが入力の処理を誤り、二次 SQL インジェクション（CWE-89）というセキュリティ上の欠陥が存在します。攻撃者は特定のデータを組み立てて SQL インジェクションを発火させ、データベース内容の漏洩、改竄、リモートコード実行に至らせられます。本脆弱性は 3.6.5 へ更新していないすべての利用者に影響します。攻撃者は前段のページ操作から脆弱性を発火でき、二次注入の性質を利用して後続の要求で悪意ある SQL 命令を実行させられます。
コンポーネント
Page Builder CK は Joomla の内容管理システム向けの人気の拡張で、ウェブサイト前段のページ配置と様式の構築・管理に用いられます。
リスク
- データベースの完全な制御：攻撃者はデータベース内の機微情報、利用者の資格情報やサイトの設定を読み取り、改変し、削除できます
- リモートコード実行：特定の構成では、SQL インジェクションがサーバー上での任意のシステム命令の実行に利用され得ます
- 権限の昇格：応用が高い権限で動作している場合、攻撃者はサーバーの完全な制御権を得る可能性があります
- 直接の操作を要しない悪用：二次注入の性質により、攻撃者は初回のデータ投入の後、他の通常の操作を通じて脆弱性を発火でき、隠密性が高くなります
出典
対処方法- Page Builder CK の拡張を直ちに 3.6.5 以降へ更新してください
- データベースの照会引数に厳格な事前処理とエスケープを施してください
- ウェブアプリケーションファイアウォール（WAF）を配備し、疑わしい SQL インジェクションの要求を遮断してください
パッケージ汚染npm2026-08-25
@medisend/auth@0.0.1-security-research が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
6cf7cbadfea90673eda5dc423392af43
パッケージ汚染npm2026-08-25
kelly-stake-sizing@0.1.1 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
1c20a1dd2fb23d086786baf1ac252343
パッケージ汚染npm2026-08-25
svelte-dim-ui@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
9e0eb4c09af0897c10d38c5641ba31d6
パッケージ汚染npm2026-08-25
classhomework@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
24ff6662567d594218a3c3956f29d275
パッケージ汚染npm2026-08-25
classwork@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
c3aa7d7d326c817df8edeac3464e917c
パッケージ汚染npm2026-08-25
desmosisfire@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
ad172bbc784beafc003e4937eb9af214
パッケージ汚染npm2026-08-25
desmosistuff@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
b8cb6ed8403b02edb352f560a5d4bde0
パッケージ汚染npm2026-08-25
desmosschoolwork@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
1c1b000b2126ff213f4146d357dbe528
パッケージ汚染npm2026-08-25
ilovedesmos@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
112a43457429e35039fbe51b6fc5baca
パッケージ汚染npm2026-08-25
tungtungisgoated@>= 0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
99c06fcac970bce46e8b14d40be223ae
