CVE-2025-60375 — PerfexCRM 認証バイパス

アドバイザリID: perfexcrm-auth-bypass-2025
CVE: CVE-2025-60375
製品: PerfexCRM
影響を受けるバージョン: 3.3.1 より前のバージョン (< 3.3.1)
報告者: Ajansha Shankar, Ahamed Yaseen
参考情報: OWASP Authentication Cheat Sheet — https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html

---

概要

バージョン3.3.1より前のPerfexCRMの管理者ログインメカニズムには、認証バイパスが存在します。サーバーの認証ワークフローは、ユーザー名/パスワードパラメータの存在と内容を十分に検証していません。ログインリクエストを操作してユーザー名とパスワードのパラメータを空で送信する攻撃者は、管理者アカウントを含むユーザーアカウントへのアクセスを許可される可能性があります。

---

影響

• ユーザーアカウント（管理者を含む）への不正アクセス。
• アプリケーションの完全な侵害と機密データの漏洩の可能性。
• リモートからの悪用 — 攻撃者はログインエンドポイントにHTTPリクエストを送信できることだけが必要です。

---

技術的な詳細と再現手順

1. 管理者ログインエンドポイント（例: /admin/auth/login）に送信されるPOSTリクエストをインターセプトします。
2. リクエストボディ内のusernameおよびpasswordフィールドを削除するか、空の値に設定します。