#20260314 【注意】TinaCMS等で重大な脆弱性

■ 今日のハイライト 本日は、開発基盤やフレームワークを脅かす、重要度の高いセキュリティニュースを解説します。ヘッドレスCMSのTinaCMSや、バックエンド開発のParse Serverなどで深刻な脆弱性が多数報告されています。 ■ 主要なニュース解説 ▼ TinaCMSにおける開発サーバーとパス操作の脆弱性 ヘッドレスCMSとして人気のTinaCMSにて、複数の深刻な問題が報告されました。 (1) CVE-2026-29066 開発サーバーの設定不備により、ファイルシステムのアクセス制限が無効化されており、非認証の攻撃者がホスト上の任意のファイルを読み取れる危険性があります。 (2) CVE-2026-28793, CVE-2026-28791, CVE-2026-24125 メディアアップロードやGraphQLの処理においてパスの検証が甘く、意図しないディレクトリのファイルを読み書き・削除できる「パストラバーサル」の脆弱性が存在します。 (3) CVE-2026-28792 開発サーバーのCORS設定が非常に緩いこととパストラバーサルが組み合わさり、罠サイトにアクセスしただけでローカルファイルが奪われる「ドライブバイ攻撃」のリスクがあります。 ▼ Parse Serverにおけるアカウント乗っ取りとSQLインジェクション BaaSとして広く利用されているParse Serverにも致命的な脆弱性が見つかりました。 (1) CVE-2026-32248 匿名認証など特定の認証プロバイダを使用している場合、細工したログインリクエストによって演算子を注入され、任意のアカウントを乗っ取られる恐れがあります。 (2) CVE-2026-32234 データベースにPostgreSQLを利用している場合、クエリ制約におけるフィールド名の処理に問題があり、マスターキーを持つ攻撃者によるSQLインジェクションが可能です。 (3) CVE-2026-32242 OAuth2アダプタが複数のプロバイダ設定をまたいで状態を共有してしまうバグがあり、同時並行のアクセス時に認証処理が混線するリスクが報告されています。 ▼ その他の重要トピック ・【Black】CVE-2026-32274：Pythonのコードフォーマッター「Black」にて、オプション値のサニタイズ漏れにより、任意の場所にキャッシュファイルを書き込まれる脆弱性。 ・【multipart】CVE-2026-28356：Pythonのmultipartライブラリにおける正規表現の処理に問題があり、悪意のあるヘッダーによりDoS攻撃（ReDoS）を受ける脆弱性。 ・【tinyauth】CVE-2026-32246：Go製の認証サーバー「tinyauth」で、パスワードさえ分かれば2要素認証をバイパスしてトークンを取得できてしまう脆弱性。 各プロジェクトでパッチがリリースされています。関連技術を利用している方は、速やかにアップデートを確認してください。 #セキュリティ #エンジニア #ITニュース #脆弱性 #TinaCMS #ParseServer #Python Data sources: GitHub Advisory Database (CC-BY 4.0) --- stand.fmでは、この放送にいいね・コメント・レター送信ができます。 https://stand.fm/channels/5ec48451f654bbcab4d3f793