CVE-2021-48016 [重大 9.3] DedeCMSのバージョン5.8.1-betaまでの製品には、ShowMsg()関数におけるHTTPリクエストに関するPHPコードインジェクションの脆弱性が存在します。

公開日 2026-10-22 NVD CVE（CRITICAL）深刻度 CRITICAL

この記事は英語の原文を AI で機械翻訳したものです。製品名・バージョン・CVE 番号や、肯定・否定が正しく訳されていない場合があります。必ず元記事をご確認ください。ご利用上の注意

DedeCMSのバージョン5.8.1-betaには、ShowMsg()関数にPHPコードインジェクションの脆弱性が存在します。この脆弱性により、HTTP RefererヘッダーがDedeTemplate文字列に書き込まれ、それが読み込まれる際に悪意のあるコードが実行される可能性があります。認証されていない攻撃者は、空の検証コードとともに、/plus/flink.php?dopost=saveに巧妙に作成されたRefererヘッダーを送信することで、任意のPHPコードやシステムコマンドを実行できる可能性があります。この脆弱性の悪用事例は、最初に2023年10月14日にShadowserver Foundationによって報告されました。

CVSS 4.0: 9.3 (重大) (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X)