00:00
-00:00
#20260325 緊急！RailsとCMSの深刻な脆弱性
8
■ 今日のハイライト
本日はRuby on Railsや各種CMSにおける重要アップデートなど、多数のセキュリティニュースをお届けします。
▼ Ruby on Railsにおける多数の脆弱性
Ruby on Railsの各コンポーネント（Active Storage、Active Supportなど）で9件の脆弱性が一斉に公表されました。
・CVE-2026-33202：Active StorageにおけるGlobインジェクション。意図しないファイル削除のリスクがあります。
・CVE-2026-33195：Active Storageにおけるパストラバーサル。ファイルの不正な読み書きの恐れがあります。
・CVE-2026-33176：Active SupportにおけるDoS（サービス拒否）脆弱性。指数表記の文字列処理によりCPUとメモリを枯渇させます。
該当バージョンを使用中の場合は、速やかなアップデートが推奨されます。
▼ Connect CMSにおける複合的な脆弱性
オープンソースのCMS「Connect CMS」において、RCE（リモートコード実行）を含む複数の深刻な脆弱性が報告されました。
・CVE-2026-32276：Code Studyプラグインにおける、認証済みユーザーによる任意のコード実行。
・CVE-2026-32279：外部ページ移行機能におけるSSRF（サーバーサイドリクエストフォージェリ）。
・CVE-2026-32300：マイページプロフィール更新機能での認可不備。
パッチ適用済みのバージョン（1.41.1 または 2.41.1）への更新が必要です。
▼ MantisBTにおけるMySQL環境特有の認証バイパス
・CVE-2026-30849：MantisBTのSOAP APIにおいて、MySQLの暗黙の型変換を利用した認証バイパスの脆弱性が発見されました。MySQLおよび互換データベースを使用しているインスタンスが対象です。
▼ その他の重要トピック
・Indico（CVE-2026-33046）：LaTeXインジェクションを通じたRCE。
・New API（CVE-2026-30886）：VideoProxyにおけるIDOR（認可制御の欠如による他ユーザーデータへのアクセス）。
・h3（NPM）：オープンリダイレクトやチャンク化されたCookieの無制限処理によるDoS脆弱性。
#セキュリティ #エンジニア #ITニュース
Data sources: GitHub Advisory Database (CC-BY 4.0)
3月24日
このチャンネルの新着放送
stand.fmの無料アプリでもっと便利に
放送が更新されたらプッシュでお知らせされるので最新の放送を聞き逃さない。
バックグラウンド再生で他のアプリを使用しながら、放送やライブが聴ける。
放送やライブ、コミュニティでコメントが送れて配信者とコミュニケーションができる。
アプリだけでかんたんに音声を収録して投稿できて音声の編集もできる。
stand.fmメディア
JASRAC許諾番号
9024598002Y31016
9024598004Y31016
NexTone許諾番号
000006134
© 2026 stand.fm, Inc.