DJ-Classifiedsに任意コード実行の脆弱性、修正版あり
Joomla用拡張のDJ-Classifieds 3.11.3未満に、ログインした低権限ユーザーがサーバー上でコードを実行できる脆弱性があります。分類広告サイトの運営者は版を確認し、3.11.3以降へ更新してください。
急ぎ度: 早めに
CVSS v4は9.4で、低権限のアカウントがあればネットワーク越しにコード実行まで進めてしまう一方、修正版の3.11.3が公開されているためです。
関係があるか
JoomlaでDJ-Classifiedsを入れて分類広告サイトを運営している組織が対象です。一般の利用者がアカウントを作れる設定にしているサイトは、とくに影響を受けやすい環境です。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| DJ-Classifieds extension for Joomla（dj-extensions.com） | 3.11.3未満 | 3.11.3 |
確かめ方
- 1Joomlaの管理画面で「システム」から「拡張機能」の「管理」を開き、DJ-Classifiedsの版が3.11.3未満かどうかを確認します。
- 2複数のJoomlaサイトを運用している場合は、サイトごとに拡張機能の一覧を確認します。ステージング環境や休眠中のサイトも対象に含めます。
- 33.11.3未満の下限の版は、dj-extensions.comの告知で確認します。
何が起きたか
DJ-Classifieds 3.11.3未満には、ログインした低権限のユーザーが任意のファイルをサーバーにアップロードでき、最終的にサーバー上でコードを実行されてしまう脆弱性があります。CVE-2026-105603として2026年11月2日に公表されました。
分類はCWE-434で、アップロードできるファイルの種類を十分に制限できていない問題です。開発元のdj-extensions.comは、これを3.11.3で修正しています。
公表の翌日にあたり、実際に悪用された報告は確認していません。公表直後は修正版を当てる側が先に動ける時期です。
攻撃の流れ
-
1
低権限で認証
対象サイトで一般ユーザーのアカウントを使ってログインします。
-
2
ファイルを送る
拡張機能のアップロード機能に、本来は許されないファイルを送り込みます。
-
3
サーバー上で実行
置かれたファイルが実行され、任意のコードが動きます。
-
4
サーバーを掌握
サイトの改ざんやデータの持ち出し、同居するシステムへの波及につながります。
どう悪用されるか
悪用にはログインが必要ですが、管理者権限は要りません。一般ユーザーとして登録できるアカウントで足ります。ネットワーク越しに実行でき、攻撃の複雑さは低く、被害者側の操作も必要ありません。
このため、会員登録を誰にでも開放している広告サイトでは、事実上、外部の第三者が足がかりを得られる状況になりかねません。登録を承認制にしているサイトは、攻撃者にとっての敷居が上がります。
成功すると、サーバー上で任意のコードが動きます。情報の読み取り、書き換え、サービス停止のいずれも高い影響として評価されています。同じサーバーや同じ認証情報でつながる別のシステムにも影響が及ぶ想定です。
今すぐやること
-
1
DJ-Classifiedsを3.11.3以降へ更新する
更新前にサイトのファイルとデータベースのバックアップを取り、まずテスト環境で表示と投稿機能を確認します。そのあと本番に適用します。
-
2
更新の日までユーザー登録の開放を見直す
新規登録を承認制にするか一時的に止めると、低権限アカウントを手に入れられる経路が減ります。既存アカウントには効かないので、更新の代わりにはなりません。
-
3
アップロード先に不審なファイルがないか調べる
広告の画像や添付が保存されるディレクトリで、スクリプトファイルや見覚えのない拡張子のファイル、最近作られた不自然なファイルがないかを確認します。
-
4
開発元の告知を確認する
dj-extensions.comのDJ-Classifiedsのページで、影響する版の範囲、更新手順、回避策の有無を読みます。
すぐ更新できないとき
すぐに更新できないときは、新規ユーザー登録を止めるか承認制にし、既存の一般ユーザーのアカウントに不審なものがないか確認します。あわせて、アップロード先のディレクトリでスクリプトが実行されないようWebサーバー側で制限しておくと、被害を抑える助けになります。ただし、いずれも脆弱性そのものをふさぐ対策ではありません。開発元が回避策を案内していないかも確認してください。
背景
DJ-Classifiedsは、dj-extensions.comが提供するJoomla向けの拡張機能です。Joomlaサイトに分類広告の掲載、検索、ユーザーごとの広告管理といった機能を加えます。広告の投稿者は画像などを添付するため、拡張機能の中心にファイルのアップロード機能があります。
不特定多数の登録ユーザーが書き込むサイトでは、アップロード機能の検査がそのままサーバーの安全に直結します。CWE-434は、アップロードされたファイルの種類を適切に制限できていないときに生じる脆弱性で、CMSの拡張機能でも見つかることがあります。アップロードされたものが実行できる場所に置かれると、コード実行まで進みます。今回はその条件が低権限のユーザーで満たされるとされています。
よくある質問
Q.更新したあとも、侵害の跡を調べる必要はありますか。
Q.Joomla本体の更新も必要ですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Joomla Extension - dj-extensions.com - Authenticated arbitrary file upload in DJ-Classifieds < 3.11.3 - The Joomla extension DJ-Classifieds is vulnerable to an unprivileged file upload, leading to full RCE.
出典: CVE.org (CVE Program・cvelistV5) NVD