#20260325 緊急！RailsとCMSの深刻な脆弱性

■ 今日のハイライト 本日はRuby on Railsや各種CMSにおける重要アップデートなど、多数のセキュリティニュースをお届けします。 ▼ Ruby on Railsにおける多数の脆弱性 Ruby on Railsの各コンポーネント（Active Storage、Active Supportなど）で9件の脆弱性が一斉に公表されました。 ・CVE-2026-33202：Active StorageにおけるGlobインジェクション。意図しないファイル削除のリスクがあります。 ・CVE-2026-33195：Active Storageにおけるパストラバーサル。ファイルの不正な読み書きの恐れがあります。 ・CVE-2026-33176：Active SupportにおけるDoS（サービス拒否）脆弱性。指数表記の文字列処理によりCPUとメモリを枯渇させます。 該当バージョンを使用中の場合は、速やかなアップデートが推奨されます。 ▼ Connect CMSにおける複合的な脆弱性 オープンソースのCMS「Connect CMS」において、RCE（リモートコード実行）を含む複数の深刻な脆弱性が報告されました。 ・CVE-2026-32276：Code Studyプラグインにおける、認証済みユーザーによる任意のコード実行。 ・CVE-2026-32279：外部ページ移行機能におけるSSRF（サーバーサイドリクエストフォージェリ）。 ・CVE-2026-32300：マイページプロフィール更新機能での認可不備。 パッチ適用済みのバージョン（1.41.1 または 2.41.1）への更新が必要です。 ▼ MantisBTにおけるMySQL環境特有の認証バイパス ・CVE-2026-30849：MantisBTのSOAP APIにおいて、MySQLの暗黙の型変換を利用した認証バイパスの脆弱性が発見されました。MySQLおよび互換データベースを使用しているインスタンスが対象です。 ▼ その他の重要トピック ・Indico（CVE-2026-33046）：LaTeXインジェクションを通じたRCE。 ・New API（CVE-2026-30886）：VideoProxyにおけるIDOR（認可制御の欠如による他ユーザーデータへのアクセス）。 ・h3（NPM）：オープンリダイレクトやチャンク化されたCookieの無制限処理によるDoS脆弱性。 #セキュリティ #エンジニア #ITニュース Data sources: GitHub Advisory Database (CC-BY 4.0) --- stand.fmでは、この放送にいいね・コメント・レター送信ができます。 https://stand.fm/channels/5ec48451f654bbcab4d3f793