CVE-2026-21857: Redaxo のバックアップアドオンにおけるパストラバーサルにより任意のファイル読み取りが可能

概要

影響を受ける製品

• redaxo/source (バージョン: <= 5.20.1)

CWE 分類

• CWE-22: 制限されたディレクトリ内のパス名の制限が不適切（'パストラバーサル'）
• CWE-24: パストラバーサル: '../filedir'

詳細

概要

バックアップ権限を持つ認証済みユーザーは、バックアップアドオンのファイルエクスポート機能におけるパストラバーサルを介して、Webルート内の任意のファイルを読み取ることができます。

詳細

バックアップアドオンは、EXPDIR POST パラメータを UI が生成した許可ディレクトリの許可リストに対して検証しません。 攻撃者は ../ シーケンスを含む相対パス（またはドキュメントルート内の絶対パス）を指定して、生成された .tar.gz アーカイブに読み取り可能な任意のファイルを含めることができます。

脆弱なコード:

• redaxo/src/addons/backup/pages/export.php (72〜76行目) – $_POST['EXPDIR'] を直接使用
• redaxo/src/addons/backup/lib/backup.php (~413行目 & ~427行目) – サニタイズされていないユーザー入力をベースパスと連結

これにより、以下のような機密ファイルが漏えいする可能性があります:

• redaxo/data/core/config.yml → データベース認証情報 + 全バックエンドユーザーのパスワードハッシュ
• .env、カスタム設定ファイル、ログ、アップロードされた悪意のあるファイルなど

影響を受けるバージョン

≤ 5.20.1 (動作確認済み)

パッチ適用済みバージョン

なし (2025-12-09 現在)

PoC – データベース認証情報とパスワードハッシュの抽出

1. バックアップ権限を持つ任意のユーザーとしてログインします
2. バックアップ → エクスポート → ファイル に移動します

3. Burp Suite でリクエストをインターセプトします

4. いずれかの EXPDIR[] の値を ../../../../var/www/html/redaxo/data/core に変更します

5. リクエストを送信 → アーカイブをダウンロードします

   

6. data/core/config.yml を展開して開きます

   

結果: 平文のデータベースパスワード

影響

REDAXO インストールの完全な侵害:

• データベースの乗っ取り
• パスワードハッシュの抽出 → オフラインクラッキング → 管理者アクセス
• 他の脆弱性との組み合わせ → RCE

CVSS 4.0 ベクタとスコアは以下を参照してください。

クレジット

発見者: Łukasz Rybak

参考情報

• https://github.com/redaxo/redaxo/security/advisories/GHSA-824x-88xg-cwrv
• https://github.com/redaxo/redaxo/releases/tag/5.20.2
• https://nvd.nist.gov/vuln/detail/CVE-2026-21857
• https://github.com/advisories/GHSA-824x-88xg-cwrv

免責事項

この CVE は、協調的な脆弱性開示の慣行に従って責任を持って開示されました。ここに記載されている情報は、教育および防御目的のみで提供されています。