Ver. 3.1.30 リリースのお知らせ

a-blog cms Ver. 3.1.30 リリースのお知らせ

この記事では、2024年10月28日にリリースした Ver. 3.1.30 の修正内容について紹介いたします。

現在お困りの問題に該当する項目がありましたら、お早めにバージョンアップのご検討をお願いいたします。

Ver. 3.1.30 リリースノート

変更点

  • CMS-6936 編集設定画面からサブカテゴリーの上限数を設定できるように機能を追加

修正点

  • CMS-6933 メディアバナーと関連エントリーのソート機能をキーボード操作したときの操作性を向上
  • CMS-6941 関連エントリーのデータ出力用scriptタグがタグズレする問題の修正
  • CMS-6943 ダッシュボードに、サブスクリプションライセンスの有効化の項目が管理者でない場合でも表示されてしまう問題の修正
  • CMS-6945 新しいメディアとして作成機能で焦点座標設定時に x, y どちらかが 0だと保存されない問題の修正
  • CMS-6946 Ver. 3.1.23 より、新しいメディアとして作成機能でファイル名の変更ができない問題の修正
  • CMS-6947 Ver. 3.1.23 より、メディアタイプが svg 及び file の場合、メディアのファイルを変更時にファイル名の変更が保存できない問題の修正
  • CMS-6949 Ver. 3.1.23 よりメディアの焦点座標を更新して、リロードせず再度画像編集モーダルを開くと変更がUI上に反映されていない問題の修正
  • CMS-6950 Ver. 3.1.23 より タイムマシーンモード有効時にコンソールにJavaScriptエラーが表示される問題の修正
  • CMS-6952 エンタープライズ版の承認機能で、不要な承認者のバージョン公開予約ボタンが出てしまう問題を修正
  • CMS-6953 http 環境かつ、ダウンロード時同梱の .htaccess で静的書き出しを行うと、トップページの書き出しに失敗する問題の修正及び、同梱の .htaccess で http 環境を考慮するように修正
  • CMS-6954 windows 環境で静的書き出しを行うと、CSSのurl属性のパス解決に失敗する問題の修正
  • CMS-6955 クエリストリングが多次元配列指定された場合にphpエラーが発生する問題を修正
  • CMS-6957 check-seoにあるhttp記述が原因で脆弱性テストに引っかかる問題を修正（リンクをhttpsに変更）
  • CMS-6956 ユーザー管理の詳細画面から2段階認証設定ができない問題を修正
  • CMS-6959 画像ユニットで複数枚アップロードができない問題を修正

一部リリースノートの詳細な内容

CMS-6936 編集設定画面からサブカテゴリーの上限数を設定できるように機能を追加

エントリーで設定できるサブカテゴリーの数に上限数を設定できるようになりました。設定は編集設定の「エントリー項目設定」より行えます。

エントリー編集画面

エントリー編集画面

編集画面設定

編集画面設定

CMS-6956 ユーザー管理の詳細画面から2段階認証設定ができない問題を修正

「2段階認証」設定が、表側のプロフィール変更ページからしか設定できなかったのを、管理画面側のユーザー詳細画面からも変更できるように修正しました。

プロフィール変更画面

プロフィール変更画面

ユーザー詳細管理画面

ユーザー詳細管理画面

最後に

該当する問題がありましたら、お早めにバージョンアップのご検討をお願いいたします。
また、迅速にご報告いただいたユーザーの皆さま、誠にありがとうございました。

今後もご報告いただいた内容に対して真摯に受け止め修正と改善を行ってまいります。
今後ともどうぞよろしくお願いいたします。

【重要なお知らせ】Ver. 3.1.14 〜 Ver. 3.1.33 で発見された脆弱性について

概要

Ver. 3.1.14 〜 Ver. 3.1.33 のバージョンで、脆弱性が発見されました。 クリティカルな問題になりますので、大変お手数ですが該当バージョンのお使いの方は以下対応をお願いいたします。

該当するバージョン

  • Ver. 3.1.14 〜 Ver. 3.1.33

ワークアラウンド（応急処置）

該当バージョンをお使いで、アップデートがすぐ難しいという方はバージョンにあったパッチを以下よりダウンロードして適応をお願いします。

適応ファイル

  • php/main.php

パッチダウンロード

CMSバージョンアップによる対応

Ver. 3.1.34 が 2024/12/25 にリリースされています。このバージョンにアップデートすることで、今回の問題に対応できます。

この度はご不便をおかけしてしまい大変申し訳ございませんでした。

本件に関するお問い合わせ先

本件についてご不明点などありましたら以下のお問い合わせよりご連絡ください。

有限会社アップルップル
メールアドレス：info@a-blogcms.jp
お問い合わせフォーム：https://www.a-blogcms.jp/contact/

Ver. 3.1.43 リリースのお知らせ

a-blog cms Ver. 3.1.43 リリースのお知らせ

この記事では、2025年4月8日にリリースした Ver. 3.1.43 の修正内容について紹介いたします。

現在お困りの問題に該当する項目がありましたら、お早めにバージョンアップのご検討をお願いいたします。

本リリースでは、セキュリティ上の問題を修正しております。 当該脆弱性をご報告いただいた haidv35 (Dinh Viet Hai) at Viettel Cyber Security 様に感謝申し上げます。

We appreciate the report of this issue by haidv35 (Dinh Viet Hai) at Viettel Cyber Security, which helped improve the security of this product.

Ver. 3.1.43 リリースノート

変更点

  • CMS-7109 デシリアライズ可能なクラスを追加できるHookを追加（unserializeAllowedClasses）
  • CMS-7101 400ステータスのエラー画面を用意（themes/system/400.html）

修正点

  • CMS-7110 POSTモジュール動作時は、そのリクエストではキャッシュを利用しないように改善
  • CMS-7098 エントリー公開時にページキャッシュが削除されない問題の修正
  • CMS-7104 open_basedir設定時に、ファイル存在確認でパスの内容によってはphpエラーが発生する問題を修正
  • CMS-7111 .htaccess を apache2.4 の書き方に統一 & IPアドレス制限や実行php制限の記述を追加
  • CMS-6890 スマホで、ダイレクト編集をするとユニット部分がスクロール出来ない問題を修正
  • CMS-7113 ブログコードが1文字だと、メディアのダウンロードリンクが切れてしまう問題を修正
  • CMS-7114 フォームのコンバーターオプションで、不正な入力があるとphpエラーが発生する問題を修正
  • CMS-7103 バックアップ機能のディレクトリ・トラバーサル対策（管理者限定）
  • CMS-7115 エントリー編集者画面のXSS対策（投稿者以上限定）

一部リリースノートの詳細な内容

CMS-7101 400ステータスのエラー画面を用意（themes/system/400.html）

入力内容が不正な場合に400ステータスのエラー画面を出力するようになりました。また以下テンプレートで400エラー画面をカスタマイズすることができます。

themes/ご利用テーマ/400.html

CMS-6890 スマホで、ダイレクト編集をするとユニット部分がスクロール出来ない問題を修正

スマホでダイレクト編集モードに入ると、ユニット部分がスクロールできず、スマホではユニットが画面いっぱいに広がってるため、スクロールが実質できない不具合を修正しました。

.htaccess を apache2.4 の書き方に統一 & IPアドレス制限や実行php制限の記述を追加

.htaccessの記述をapache2.4の記述方法に統一し、IPアドレス制限や実行PHP制限のコードを追加しました。デフォルトではコメントされている部分もあるため、必要に応じて設定ください。

IPアドレス制限

# ---------------------------
# 全体のIPアドレス制限
# ---------------------------
# <RequireAll>
#   Require not ip xxx.xxx.xxx.xxx
#   Require not ip yyy.yyy.yyy.yyy
#   Require all granted
# </RequireAll>

サイト全体で拒否したいIPアドレスを指定ください。デフォルトではコメントアウトで無効化されています。

index.php以外のPHPスクリプトを実行禁止

# ---------------------------------------
# index.php以外のPHPスクリプトを実行禁止
# ---------------------------------------
<FilesMatch "\.php$">
  Require all denied
</FilesMatch>
<Files "index.php">
  Require all granted
</Files>

index.php以外は実行できないようになっております。 下階層のディレクトリなどで、独自のindex.php以外のphpを動作させたい場合は、以下のように該当ディレクトリに.htaccessを設置ください。

# hoge.php と fuga.phpを許可
<FilesMatch "^(hoge|fuga)\.php$">
  Require all granted
</FilesMatch>

実行可能なスクリプトをブロック

# ------------------------------------------------------------------
# 実行可能なスクリプト (PHP, CGI, Perl, Python, Shell, EXE) をブロック
# ------------------------------------------------------------------
# RewriteCond %{REQUEST_URI} !^/index\.php$ [NC]
# RewriteCond %{REQUEST_URI} !^/_setup/.*\.php$ [NC]
# RewriteCond %{REQUEST_URI} !^/other2/index\.php$ [NC]
# RewriteCond %{REQUEST_URI} \.(php|cgi|pl|py|sh|exe|bin|dll|bat|cmd|msi|jar)$ [NC]
# RewriteRule ^.*$ - [F,L]

CMSのindex.php以外のスクリプトは実行できないように設定します。制限がきついため、デフォルトはコメントアウトされています。 よりセキュリティを高める場合に、コメントアウトを外してください。

最後に

該当する問題がございましたら、できるだけ早めのバージョンアップをご検討ください。 ご報告いただいた haidv35 (Dinh Viet Hai) at Viettel Cyber Security 様を含め、当プロジェクトの安全性向上にご協力くださった皆さまに深く感謝申し上げます。

今後もご報告いただいた内容に対して真摯に受け止め修正と改善を行ってまいります。
今後ともどうぞよろしくお願いいたします。

多くの脆弱性修正したバージョンをリリース

多くの脆弱性修正したバージョンをリリース

この記事では、2025年4月30日にリリースされたバージョンについて紹介いたします。 今回りリースしたバージョンでは、多くの脆弱性を修正されております。お早めにバージョンアップのご検討をお願いいたします。

リリースしたバージョン

  • Ver. 3.1.44
  • Ver. 3.0.48
  • Ver. 2.11.76
  • Ver. 2.10.64
  • Ver. 2.9.52
  • Ver. 2.8.86

Ver. 3.1.44 リリースノート

修正点

  • CMS-7118 インクルードの変数にバックスラッシュが入った文字列を渡すと、変数が空になってしまう問題を修正
  • CMS-7119 jQuery の $.ajax() を利用するとクロスオリジンのリクエストでも X-Csrf-Token ヘッダーが付与されてしまう問題の修正
  • CMS-7120 バージョンの切り替え時（承認含む）、コメントがあった場合コメントが削除されてしまう問題を修正
  • CMS-7121 Category_Insert モジュールで SQL_Select::setOrder メソッドの第2引数に無効な値を指定している問題の修正
  • CMS-7123 カスタムフィールドのテキスト置換を行うとphpエラーが発生する問題を修正
  • CMS-7130 セキュリティ修正によりメディア変数 {hoge@thumbnail} への resizeImg 校正オプションが動作しなくなっている問題の修正
  • CMS-7131 静的書き出しで必要ない余分なリクエストを除外するように改善 & エントリー書き出しのインターバル時間を調整
  • CMS-7133 引用ユニットで、OGP画像のパスが長すぎると画像URLの保存に失敗し、画像が出力されない問題を修正
  • CMS-7134 非公開ユニットにリンクを追加するとモーダルが少し奥まっている問題を修正
  • CMS-7143 監査ログでリクエストをより調査しやすいように、詳細情報を残すレベルをERRORからNOTICEに変更
  • CMS-7144 メディアモーダルを閉じたときにフォーカスがモーダルを表示するために利用したボタンに戻らない問題の修正
  • CMS-7156 メディアの中心点の設定が、カスタムフィールドからだとリセットされてしまう問題の修正
  • CMS-7171 正常なアクセスであっても、Undefined constant "MIME_TYPE" or "IS_DEVELOPMENT" エラーが発生してしまう問題を修正
  • CMS-7170 Ver. 3.1.37 のセキュリティ修正より、Xログインの OAuth 認証ができない問題の修正
  • CMS-7172 ルール毎に設定した管理メニュー設定がコンフィグやモジュールID管理画面で反映されない問題を修正

セキュリティフィックス

  • CMS-7177 .htaccessのリダイレクトの安全性を向上
  • CMS-7137 CSRFトークンのセッションID更新タイミングを調整
  • CMS-7150 .htaccess と jsonレスポンスのセキュリティ・パフォーマンス系ヘッダーの安全性を向上
  • CMS-7145 ソルト発行と、認証URL周り処理のセキュリティ向上
  • CMS-7127 Content-Typeが正しく設定されていないJSON出力を修正
  • CMS-7163 URLが入る変数のXSS対策
  • CMS-7159 投稿者権限で一部必要ない管理画面を表示できてしまう問題を修正（実行は不可）
  • CMS-7125 テキストユニット（編集画面）のXSS対策（投稿者以上限定）
  • CMS-7152 プレビュー機能のXSS対策（投稿者以上限定）
  • CMS-7154 テンプレート書き出し機能のトラバーサル・RCE対策（編集者以上限定）
  • CMS-7161 ナビゲーションモジュールの「http://」によるテンプレート取得機能を廃止・SSRF対策（管理者限定）
  • CMS-7165 モジュールユニット機能のパストラバーサル対策（管理者限定）
  • CMS-7167 Webhook機能のSSTI対策（管理者限定）
  • CMS-7173 特定のPOSTモジュールのSSRF・XSS対策

Ver. 3.0系以下の修正点は、リリースノート をご覧ください

Ver. 3.1系、Ver. 3.0系のセキュリティ修正について

以下修正項目は、ログイン前提の脆弱性になります。信頼されないユーザーが投稿者権限以上をもつ場合は必ずアップデートをお願いします。

これらの修正は、メンテナンスポリシー に沿って、Ver. 3.1系、Ver. 3.0系でのみ修正されております。

  • CMS-7150 .htaccess と jsonレスポンスのセキュリティ・パフォーマンス系ヘッダーの安全性を向上
  • CMS-7127 Content-Typeが正しく設定されていないJSON出力を修正
  • CMS-7163 URLが入る変数のXSS対策
  • CMS-7159 投稿者権限で一部必要ない管理画面を表示できてしまう問題を修正（実行は不可）
  • CMS-7125 テキストユニット（編集画面）のXSS対策（投稿者以上限定）
  • CMS-7152 プレビュー機能のXSS対策（投稿者以上限定）
  • CMS-7154 テンプレート書き出し機能のトラバーサル・RCE対策（編集者以上限定）
  • CMS-7161 ナビゲーションモジュールの「http://」によるテンプレート取得機能を廃止・SSRF対策（管理者限定）
  • CMS-7165 モジュールユニット機能のパストラバーサル対策（管理者限定）
  • CMS-7167 Webhook機能のSSTI対策（管理者限定）

Ver. 2.8系 〜 Ver. 3.1系のセキュリティ修正について

以下修正項目は、ログイン不要の脆弱性になります。アップデートもしくは後述の応急処置の対応をお願いします。

この修正はサポートが終了している、Ver. 2.8 から Ver. 2.11 でもフィックスバージョンをリリースしております。

  • CMS-7173 特定のPOSTモジュールのSSRF・XSS対策

ワークアラウンド（応急処置）

config.server.php の HOOK_ENABLE を 1 に設定します。

define('HOOK_ENABLE', 1);

extension/acms/Hook.php を修正します。

public function beforePostFire($thisModule)
{
    $thisModule->Post->delete('protocol'); // この行を追加
}

extension/acms/Hook.php が存在しない場合は、php/ACMS/User/Hook.php を修正します。

謝辞

以下当該脆弱性をご報告いただいた haidv35 (Dinh Viet Hai) at Viettel Cyber Security 氏に感謝申し上げます。ご協力ありがとうございました。
This issue was reported by haidv35 (Dinh Viet Hai) at Viettel Cyber Security. We appreciate your cooperation.

  • CMS-7127 Content-Typeが正しく設定されていないJSON出力を修正
  • CMS-7163 URLが入る変数のXSS対策
  • CMS-7159 投稿者権限で一部必要ない管理画面を表示できてしまう問題を修正（実行は不可）
  • CMS-7125 テキストユニット（編集画面）のXSS対策（投稿者以上限定）
  • CMS-7152 プレビュー機能のXSS対策（投稿者以上限定）
  • CMS-7154 テンプレート書き出し機能のトラバーサル・RCE対策（編集者以上限定）
  • CMS-7161 ナビゲーションモジュールの「http://」によるテンプレート取得機能を廃止・SSRF対策（管理者限定）
  • CMS-7165 モジュールユニット機能のパストラバーサル対策（管理者限定）
  • CMS-7167 Webhook機能のSSTI対策（管理者限定）

以下当該脆弱性をご報告いただいた vcth4nh from VCSLab of Viettel Cyber Security (Vu Chi Thanh) 氏に感謝申し上げます。ご協力ありがとうございました。
This issue was reported by vcth4nh from VCSLab of Viettel Cyber Security (Vu Chi Thanh). We appreciate your cooperation.

  • CMS-7173 特定のPOSTモジュールのSSRF・XSS対策

最後に

できるだけ早めのバージョンアップをご検討ください。 当プロジェクトの安全性向上にご協力くださった皆さまに深く感謝申し上げます。

今後もご報告いただいた内容に対して真摯に受け止め修正と改善を行ってまいります。
今後ともどうぞよろしくお願いいたします。