検索NeSC を見る
脆弱性・CVE速報深刻度: 緊急

Joomla 拡張 Custom Tables 3.7.8 より前に脆弱性 CVE-2026-105606: 公開フォーム経由で認証なしに任意拡張子のファイルを書き込める（CVSS v4.0 9.5）

World Security 編集部
目次（6）

CVE-2026-105606

NVD は 2026-11-02 に、Joomla 向け拡張機能「Custom Tables」（開発元 joomlaboat.com）の 3.7.8 より前の版に関する脆弱性 CVE-2026-105606 を登録しました。Custom Tables の公開の送信フォームを置いている Joomla サイトでは、認証のない攻撃者が、拡張子を自分で選んだファイルを、ウェブから参照できる tmp ディレクトリにアップロードできます。保存先のパスは応答で開示されます。CVSS v4.0 は 9.5（critical 相当）です。

内容

項目内容
CVECVE-2026-105606
対象Joomla 拡張 Custom Tables（joomlaboat.com）の 3.7.8 より前の版
問題公開の Custom Tables 送信フォームから、攻撃者が拡張子を選べるポリグロットファイル（複数の形式として解釈できるファイル）を tmp ディレクトリへアップロードでき、保存パスが応答で開示される。既定ではアップロードされたファイルは静的コンテンツとして配信される
影響CNA の説明では、主な影響は「ウェブから参照できるディレクトリへの認証なしの任意ファイル書き込み」。被害サイトのドメイン上で、攻撃者のコンテンツ（フィッシングやマルウェア配布のページなど）を公開できる。コード実行とは書かれていない
CWECWE-434（危険な種類のファイルの無制限アップロード）
CVSS v4.09.5（AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H）。Joomla Security Strike Team（CNA）が付与（種別 Secondary）。v3.1 の値は登録なし
攻撃に必要な権限なし（PR:N）。ただし公開の Custom Tables 送信フォームが存在するサイトが前提（AT:P）

影響範囲と注意点

  • 前提: 公開の Custom Tables 送信フォームを置いているサイトが対象です。フォームを公開していないサイトでの影響は、NVD の記載からは読み取れません。
  • 影響の読み方: CVSS の評価は機密性・完全性・可用性とも High ですが、NVD の説明が述べる主な影響は任意ファイルの書き込みです。サーバー設定によって、アップロードされたファイルがスクリプトとして実行されるかどうかは変わるため、実際の被害の大きさは環境次第です。既定では静的コンテンツとして配信されるとされています。
  • 攻撃の具体的な手順は、本記事では扱いません。

数値と出典（2026-11-03 時点）

項目内容
NVD の状態Deferred（NVD 自身の分析は未実施）
NVD 公開日2026-11-02（UTC 19:17 台）
EPSS未算定（FIRST の API に該当データなし）
KEV掲載なし（CISA のカタログを確認）
出典NVD、FIRST（EPSS）、CISA（KEV）。開発元のページは NVD の参照先（joomlaboat.com のトップページ）で、勧告ではないため内容は確認していません

severity を critical とした提案の理由

認証が不要（PR:N）で、CVSS v4.0 が 9.5 です。過去の判断の基準（認証不要かつ CVSS 9 以上は critical、それ以外は high）に合致します。ただし、NVD の記載の主な影響は任意ファイルの書き込みで、コード実行とは書かれていない点は、評価の際に踏まえてください。

対応として考えられること

  1. Custom Tables を使っている Joomla サイトの有無と版を確認します（Joomla 管理画面の拡張機能一覧）。
  2. 3.7.8 より前の版なら、3.7.8 以降への更新を、開発元の案内に沿って計画します。
  3. 更新までは、公開の送信フォームを一時的に止める、拡張を無効にする、tmp ディレクトリで実行できるファイルの種類を制限する、Web アプリケーションファイアウォールでアップロードを絞る、といった措置を検討します。
  4. tmp ディレクトリに見覚えのない PHP・HTML などのファイルがないか、送信フォームへの不審なアップロードがアクセスログにないかを確認します。

未確認の点

  • 実際の攻撃での悪用は確認していません。
  • 修正版が 3.7.8 であること、および修正の内容は、開発元の勧告で確認できていません（NVD の題名の記載から読み取った範囲です）。
  • Custom Tables を使うサイトの数や、公開フォームがどの程度の設定で置かれているかは確認できていません。
  • tmp ディレクトリのファイルがスクリプトとして実行される構成がどの程度あるかは確認できていません。
  • NVD の分析は未実施です（状態は Deferred）。

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事