--- title: "Joomla 拡張 DJ-Classifieds 3.11.3 より前に 2 件の脆弱性 CVE-2026-105604・105603: 検索の認証なし SQL インジェクションと、低権限でのファイルアップロードによる RCE（CVSS v4.0 9.3・9.4）" url: https://n-t-p.io/worldsecurity/articles/dj-classifieds-sqli-and-file-upload-cve-2026-105604-105603 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月2日 updated: 2026年11月2日 severity: 緊急 cve: CVE-2026-105604, CVE-2026-105603 --- # Joomla 拡張 DJ-Classifieds 3.11.3 より前に 2 件の脆弱性 CVE-2026-105604・105603: 検索の認証なし SQL インジェクションと、低権限でのファイルアップロードによる RCE（CVSS v4.0 9.3・9.4） > **TL;DR:** Joomla 拡張 DJ-Classifieds の 3.11.3 より前に 2 件の脆弱性。認証なしの検索 SQL インジェクション（CVE-2026-105604、CVSS v4.0 9.3）と、低権限の利用者のファイルアップロードによる RCE（CVE-2026-105603、同 9.4）。NVD は Deferred、KEV なし、EPSS は未算定。修正版の詳細は未確認。 **要点** - DJ-Classifieds 3.11.3 より前に、認証なしの検索 SQL インジェクション（CVE-2026-105604、CVSS v4.0 9.3）と、低権限の利用者によるファイルアップロードからの RCE（CVE-2026-105603、同 9.4）の 2 件 - 対象は 3.11.3 より前の全版（NVD の題名に基づく）。2 件ともネットワーク経由で、利用者の操作は不要。CNA は Joomla Security Strike Team - NVD は 2 件とも Deferred、KEV 掲載なし、EPSS は未算定。悪用の有無は未確認 - 修正版の入手先・変更内容は開発元の勧告で確認できていない。3.11.3 以降への更新を計画し、それまでは拡張の無効化や検索・アップロードの制限を検討する NVD は 2026-11-02 に、Joomla 向け拡張機能「DJ-Classifieds」（開発元 dj-extensions.com、分類広告サイトを作る拡張）の 3.11.3 より前の版に関する 2 件の脆弱性、CVE-2026-105604 と CVE-2026-105603 を登録しました。1 件は、フロントエンドの検索で認証なしで悪用できる SQL インジェクション。もう 1 件は、ログインしただけの低い権限の利用者がファイルをアップロードでき、サーバー上で任意のコードを実行（RCE）できるおそれがある問題です。どちらも CVSS v4.0 で critical 相当（9.3・9.4）が付いています。 ## 2 件の概要 | CVE | 内容 | CWE | CVSS v4.0 | 攻撃に必要な権限 | |---|---|---|---|---| | CVE-2026-105604 | フロントエンドの検索に、認証なしで使える SQL インジェクション。データベースの内容の読み出し・改ざん・削除につながるおそれがある（機密性・完全性・可用性とも High） | CWE-89 | 9.3 | なし（PR:N） | | CVE-2026-105603 | 権限のない（低い権限の）利用者によるファイルのアップロードが、完全な RCE につながる。CNA の説明は「unprivileged file upload, leading to full RCE」 | CWE-434 | 9.4 | 低（PR:L、ログインが必要） | ## 共通の前提と影響範囲 - **影響を受ける版**: 2 件とも DJ-Classifieds 3.11.3 より前。NVD の題名に「< 3.11.3」とあり、3.11.3 以降が修正版とみられますが、修正版の入手先や変更内容はベンダーの勧告で確認できていません。 - **攻撃元**: 2 件ともネットワーク経由（AV:N）で、攻撃条件の複雑さは低く（AC:L）、利用者の操作は不要（UI:N）です。 - **CVE-2026-105604**: 認証が要らないため、この拡張を入れた Joomla サイトが公開されていれば、外部の誰でも検索機能に到達できます。 - **CVE-2026-105603**: ログインできる利用者（会員登録を開放している広告サイトでは、一般の登録者を含む）が起点になり得ます。CVSS v4.0 のベクタでは、後続のシステム（SC/SI/SA）への影響も High とされています。 - 攻撃の具体的な手順は、本記事では扱いません。 ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | CVSS v4.0 | 9.3（CVE-2026-105604、AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N）、9.4（CVE-2026-105603、AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H）。いずれも Joomla Security Strike Team（CNA）が付与（種別 Secondary）。v3.1 の値は登録なし | | NVD の状態 | 2 件とも Deferred（NVD 自身の分析は未実施） | | NVD 公開日 | 2026-11-02（UTC 19:17 台） | | EPSS | 2 件とも未算定（FIRST の API に該当データなし） | | KEV | 2 件とも掲載なし（CISA のカタログを確認） | | 出典 | NVD、FIRST（EPSS）、CISA（KEV）。開発元のページは NVD の参照先（dj-extensions.com）だが、勧告ではないため内容は確認していません | ## severity を critical とした提案の理由 CVE-2026-105604 は認証が不要で、CVSS v4.0 が 9.3 です。過去の判断の基準（認証不要かつ CVSS 9 以上は critical、それ以外は high）に合致します。CVE-2026-105603 は、ログインが必要（PR:L）なため基準の上では high ですが、同じ製品・同じ版の問題として 1 本にまとめるため、記事全体の severity は高いほうの critical を提案します。 ## 対応として考えられること 1. DJ-Classifieds を使っている Joomla サイトの有無と版を確認します（Joomla 管理画面の拡張機能一覧）。 2. 3.11.3 より前の版なら、3.11.3 以降への更新を、開発元の案内に沿って計画します。 3. 更新までは、拡張を一時的に無効にする、サイトの検索を止める、会員登録を制限する、Web アプリケーションファイアウォールで検索パラメーターとアップロード先を絞る、といった措置を検討します。 4. 更新前後で、アップロード先のフォルダーに見覚えのない実行可能ファイル（PHP など）がないか、アクセスログに検索機能への不審な長い入力がないかを確認します。 ## 未確認の点 - 実際の攻撃での悪用は確認していません。 - 修正版が 3.11.3 であること、および修正の内容は、開発元の勧告で確認できていません（NVD の題名の記載から読み取った範囲です）。 - DJ-Classifieds を使うサイトの数や、ファイルアップロードの悪用に必要な設定は確認できていません。 - NVD の分析は未実施です（状態は Deferred）。 ## 出典 - [NVD CVE-2026-105604](https://nvd.nist.gov/vuln/detail/CVE-2026-105604) — NIST NVD - [NVD CVE-2026-105603](https://nvd.nist.gov/vuln/detail/CVE-2026-105603) — NIST NVD - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-105604,CVE-2026-105603) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/dj-classifieds-sqli-and-file-upload-cve-2026-105604-105603