---
title: "Joomla 拡張 Custom Tables 3.7.8 より前に脆弱性 CVE-2026-105606: 公開フォーム経由で認証なしに任意拡張子のファイルを書き込める（CVSS v4.0 9.5）"
url: https://n-t-p.io/worldsecurity/articles/custom-tables-unauthenticated-file-upload-cve-2026-105606
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月2日
updated: 2026年11月2日
severity: 緊急
cve: CVE-2026-105606
---

# Joomla 拡張 Custom Tables 3.7.8 より前に脆弱性 CVE-2026-105606: 公開フォーム経由で認証なしに任意拡張子のファイルを書き込める（CVSS v4.0 9.5）

> **TL;DR:** Joomla 拡張 Custom Tables の 3.7.8 より前に、公開の送信フォーム経由で認証なしに任意拡張子のファイルを tmp ディレクトリへ書き込める脆弱性（CVE-2026-105606、CVSS v4.0 9.5）。主な影響は任意ファイル書き込み。NVD は Deferred、KEV なし、EPSS は未算定。修正版の詳細は未確認。

**要点**
- Custom Tables 3.7.8 より前に、公開の送信フォーム経由で認証なしに任意拡張子のファイルをウェブから参照できる tmp ディレクトリへ書き込める脆弱性（CVE-2026-105606、CVSS v4.0 9.5）
- 保存パスが応答で開示される。既定ではアップロード物は静的コンテンツとして配信され、主な影響は任意ファイル書き込み（フィッシング・マルウェアページの設置）。NVD はコード実行とは書いていない
- NVD は Deferred、KEV 掲載なし、EPSS は未算定。CNA は Joomla Security Strike Team。悪用の有無は未確認
- 修正版の入手先・変更内容は開発元の勧告で確認できていない。3.7.8 以降への更新を計画し、それまでは公開フォームの停止や tmp の実行制限を検討する

NVD は 2026-11-02 に、Joomla 向け拡張機能「Custom Tables」（開発元 joomlaboat.com）の 3.7.8 より前の版に関する脆弱性 CVE-2026-105606 を登録しました。Custom Tables の公開の送信フォームを置いている Joomla サイトでは、認証のない攻撃者が、拡張子を自分で選んだファイルを、ウェブから参照できる tmp ディレクトリにアップロードできます。保存先のパスは応答で開示されます。CVSS v4.0 は 9.5（critical 相当）です。

## 内容

| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-105606 |
| 対象 | Joomla 拡張 Custom Tables（joomlaboat.com）の 3.7.8 より前の版 |
| 問題 | 公開の Custom Tables 送信フォームから、攻撃者が拡張子を選べるポリグロットファイル（複数の形式として解釈できるファイル）を tmp ディレクトリへアップロードでき、保存パスが応答で開示される。既定ではアップロードされたファイルは静的コンテンツとして配信される |
| 影響 | CNA の説明では、主な影響は「ウェブから参照できるディレクトリへの認証なしの任意ファイル書き込み」。被害サイトのドメイン上で、攻撃者のコンテンツ（フィッシングやマルウェア配布のページなど）を公開できる。コード実行とは書かれていない |
| CWE | CWE-434（危険な種類のファイルの無制限アップロード） |
| CVSS v4.0 | 9.5（AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H）。Joomla Security Strike Team（CNA）が付与（種別 Secondary）。v3.1 の値は登録なし |
| 攻撃に必要な権限 | なし（PR:N）。ただし公開の Custom Tables 送信フォームが存在するサイトが前提（AT:P） |

## 影響範囲と注意点

- **前提**: 公開の Custom Tables 送信フォームを置いているサイトが対象です。フォームを公開していないサイトでの影響は、NVD の記載からは読み取れません。
- **影響の読み方**: CVSS の評価は機密性・完全性・可用性とも High ですが、NVD の説明が述べる主な影響は任意ファイルの書き込みです。サーバー設定によって、アップロードされたファイルがスクリプトとして実行されるかどうかは変わるため、実際の被害の大きさは環境次第です。既定では静的コンテンツとして配信されるとされています。
- 攻撃の具体的な手順は、本記事では扱いません。

## 数値と出典（2026-11-03 時点）

| 項目 | 内容 |
|---|---|
| NVD の状態 | Deferred（NVD 自身の分析は未実施） |
| NVD 公開日 | 2026-11-02（UTC 19:17 台） |
| EPSS | 未算定（FIRST の API に該当データなし） |
| KEV | 掲載なし（CISA のカタログを確認） |
| 出典 | NVD、FIRST（EPSS）、CISA（KEV）。開発元のページは NVD の参照先（joomlaboat.com のトップページ）で、勧告ではないため内容は確認していません |

## severity を critical とした提案の理由

認証が不要（PR:N）で、CVSS v4.0 が 9.5 です。過去の判断の基準（認証不要かつ CVSS 9 以上は critical、それ以外は high）に合致します。ただし、NVD の記載の主な影響は任意ファイルの書き込みで、コード実行とは書かれていない点は、評価の際に踏まえてください。

## 対応として考えられること

1. Custom Tables を使っている Joomla サイトの有無と版を確認します（Joomla 管理画面の拡張機能一覧）。
2. 3.7.8 より前の版なら、3.7.8 以降への更新を、開発元の案内に沿って計画します。
3. 更新までは、公開の送信フォームを一時的に止める、拡張を無効にする、tmp ディレクトリで実行できるファイルの種類を制限する、Web アプリケーションファイアウォールでアップロードを絞る、といった措置を検討します。
4. tmp ディレクトリに見覚えのない PHP・HTML などのファイルがないか、送信フォームへの不審なアップロードがアクセスログにないかを確認します。

## 未確認の点

- 実際の攻撃での悪用は確認していません。
- 修正版が 3.7.8 であること、および修正の内容は、開発元の勧告で確認できていません（NVD の題名の記載から読み取った範囲です）。
- Custom Tables を使うサイトの数や、公開フォームがどの程度の設定で置かれているかは確認できていません。
- tmp ディレクトリのファイルがスクリプトとして実行される構成がどの程度あるかは確認できていません。
- NVD の分析は未実施です（状態は Deferred）。


## 出典
- [NVD CVE-2026-105606](https://nvd.nist.gov/vuln/detail/CVE-2026-105606) — NIST NVD
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-105606) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/custom-tables-unauthenticated-file-upload-cve-2026-105606