認証された攻撃者が、コンテンツモデルへの読み取りアクセス権（APIキー経由）を持つ場合、/api/content/aggregate/{model} RESTエンドポイントを介して集約パイプラインに任意のSQLコマンドを注入できます。

この欠陥により、攻撃者は以下が可能になります：

• 意図された公開コンテンツフィルター（_state=1）をバイパスして、未公開の下書きを読み取る。
• 同じSQLiteデータベース内の任意のコレクションから完全なドキュメント内容を抽出する。
• sqlite_master を介して内部データベーススキーマを列挙する。

2. ステップバイステップのエクスプロイト再現

以下の手順は、攻撃者が _state=1 認可フィルターをバイパスする方法を示しています。

前提条件

• Cockpit CMS 2.13.4 以下
• コンテンツコレクションモデルへの少なくとも読み取りアクセス権を持つAPIキー

2.1: コンテンツモデルの設定

1. 管理者としてCockpit CMS管理ダッシュボードにログインします。
2. コンテンツ > モデル に移動し、testcol という名前の新しいモデルを作成します。
3. モデルに2つのテキストフィールド title と body を追加します。

スクリーンショット: testcol コンテンツモデルの設定

2.2: APIロールとキーの設定

1. 設定 > ロール に移動します。
2. MasterRole などのロールを作成または変更し、testcol モデルに対する READ 権限を持たせます。

スクリーンショット: コレクションのロール権限の設定

3. 設定 > API & セキュリティ（APIキー）に移動します。
4. 新しいAPIキーを追加し、設定した MasterRole を割り当てます。キー値をコピーします（例: API-b8e8...）。

スクリーンショット: 読み取りアクセス権ロールを使用したAPIキーの設定

2.3: サンプルコンテンツの作成（秘密の下書きを含む）

1. コンテンツ > testcol に移動します。
2. Public というタイトルのアイテムを作成し、その状態を公開（緑のアイコン）に設定します。
3. SECRET_DRAFT というタイトルの2つ目のアイテムを作成し、その状態を非公開（赤のアイコン）に設定します。

スクリーンショット: 公開アイテムと非公開アイテムの1つずつを表示するアイテムリスト

2.4: エクスプロイトの実行

デフォルトでは、標準のAPIクエリは状態が公開のコンテンツのみを返します。ただし、集約パイプラインにSQLを注入することで、公開コンテンツフィルターをバイパスできます。

1. 以下のペイロードを構築します。このペイロードは json_extract() SQL関数から抜け出し、SQLコメント -- を追加して後続のSQLを無効化し、特に結果を公開アイテムに制限する WHERE 句を標的にします。

注入フィールド:

完全なパイプラインJSON:

2. パイプラインJSONをURLエンコードし、ブラウザ（またはcurl）を介してGETリクエストを /api/content/aggregate/testcol エンドポイントに送信します。YOUR_API_KEY を手順2.2で生成したキーに置き換えてください：

2.5: エクスプロイトの検証

以下の最終スクリーンショットに示すように、APIレスポンスは明示的に非公開とマークされているにもかかわらず、SECRET_DRAFT アイテムを正常に返します。これにより、SQLインジェクションがアプリケーションのコア認可メカニズムをバイパスし、APIを介した不正なデータ抽出を可能にすることが確認されます。

スクリーンショット: 未公開の「SECRET_DRAFT」データの抽出成功

3. 影響 — 結果

一般的なヘッドレスCMSデプロイメントでは、公開読み取り専用APIキーがフロントエンドのJavaScriptに埋め込まれたりハードコードされたりすることがよくあります。この脆弱性を公開APIエンドポイントを通じて悪用することで、攻撃者は以下が可能になります：

• 公開コンテンツフィルターをバイパスして、未公開の下書き、アーカイブ済みアイテム、非表示コンテンツを読み取る。
• 同じ content.sqlite データベース内のすべてのコンテンツコレクションを読み取る。APIキーが認可されていないコレクションも含みます。
• sqlite_master を介してデータベーススキーマを列挙し、すべてのテーブル名と構造を発見する。

4. 開示のタイムライン

付録:

• https://github.com/Cockpit-HQ/Cockpit/security/advisories/GHSA-7x5c-vfhj-9628
• https://www.cve.org/CVERecord?id=CVE-2026-31891