DJ-Classifiedsに未認証のSQLインジェクション、修正版あり
Joomla用の拡張機能DJ-Classifiedsに、ログインなしで突けるSQLインジェクションの脆弱性が公表されました。分類広告サイトを運営している組織は、使っている版を調べ、修正版へ更新してください。
急ぎ度: 早めに
CVSS v4が9.3で、認証なしにネットワークから届く脆弱性ですが、修正版が公開済みなので、公開サイトは数日以内の更新が目安です。
関係があるか
JoomlaでDJ-Classifiedsを使い、分類広告やクラシファイドのサイトをインターネットに公開している組織が対象です。検索画面は訪問者なら誰でも使えるため、会員限定のつもりでも、サイトが外から見えるなら関係します。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| DJ-Classifieds extension for Joomla | 3.11.3未満 | 3.11.3 |
確かめ方
- 1Joomlaの管理画面で、インストール済みの拡張機能の一覧を開き、DJ-Classifiedsの版を確認します。
- 2本番サイトだけでなく、ステージング環境や、以前に作って放置しているサイトも調べます。外部の制作会社やホスティング事業者に任せている場合は、使用中の版を問い合わせます。
- 3最新の影響範囲と修正版の詳細は、dj-extensions.comの告知で確認します。
何が起きたか
DJ-Classifiedsのフロントエンドにある検索機能に、SQLインジェクションの脆弱性が見つかりました。悪用されると、サイトのデータベースに対して、運営者が意図していない命令を実行されるおそれがあります。
検索欄に入力された内容が、データベースへの問い合わせに安全でない形で組み込まれることが原因です。弱点の分類はCWE-89です。
この脆弱性は2026年11月2日に公表されたばかりで、修正版は3.11.3とみられます。実際の攻撃は確認されていませんが、検索画面は誰でも到達できる場所なので、公表後に自動的な探索が増える可能性を考え、数日以内に更新するのが妥当でしょう。
攻撃の流れ
-
1
対象サイトの特定
DJ-Classifiedsを使う公開サイトが、外から探し出される。
-
2
検索機能に到達
ログインしなくても使える検索画面に、細工された入力が送られる。
-
3
SQL文として実行
入力がデータベースへの命令の一部として解釈される。
-
4
データの流出・改変
保存されている情報の閲覧や書き換え、サイトの停止につながる。
どう悪用されるか
悪用にアカウントは要りません。インターネットからサイトの検索機能に届けば足り、複雑な条件も、サイト管理者や利用者の操作も必要ありません。CVSS v4のベクターでも、ネットワーク経由・低い攻撃難度・認証不要・ユーザー操作不要と評価されています。
被害として想定されるのは、データベース内の情報の閲覧、内容の書き換え、サービスの停止です。機密性・完全性・可用性の影響は、いずれも高と評価されています。分類広告サイトでは、会員の連絡先や投稿内容が同じデータベースに入っていることが多く、漏えいした場合の影響が広がりやすい点に注意が必要です。
今すぐやること
-
1
使用中の版を確認する
管理画面でDJ-Classifiedsの版を調べ、3.11.3未満なら対象として扱います。複数のサイトを運用している場合は、すべてのサイトで確認します。
-
2
バックアップを取って修正版へ更新する
ファイルとデータベースのバックアップを取ったうえで、DJ-Classifiedsを修正版に更新します。更新後は検索機能が動くことを確認します。
-
3
公表前後のログを見直す
Webサーバーのアクセスログとデータベースのエラーログで、検索機能への不自然に長い入力や、短時間の大量アクセスがないかを調べます。公表直後ですが、更新前に狙われた可能性は残ります。
-
4
ベンダーの告知を確認する
dj-extensions.comの告知で、影響する版の範囲、修正版の入手方法、追加の注意点を確認します。
すぐ更新できないとき
更新をすぐに行えない場合は、更新できるまでのつなぎとして、次のいずれかを検討します。
- DJ-Classifiedsの拡張機能を一時的に無効にする、または広告サイトを一時的に非公開にする
- WAFで検索機能へのリクエストを制限する（検知ルールの対応状況は、利用中の製品や事業者に確認します）
いずれも根本的な対策ではないため、修正版への更新は必要です。ベンダーの告知に回避策が載っている場合は、そちらを優先します。
背景
DJ-Classifiedsは、dj-extensions.comが提供するJoomla向けの拡張機能で、分類広告サイトをJoomla上に作るために使われます。広告の投稿、カテゴリ分け、閲覧者向けの検索を一式で備えるため、検索画面は不特定多数に公開されるのが前提です。今回の脆弱性は、その公開入口にあたる部分で見つかりました。
SQLインジェクションは、Webアプリケーションの脆弱性としては古くから知られた種類です。この拡張機能のように、JoomlaのデータベースにCMS本体の情報と拡張機能のデータが同居していると、検索機能の不備が、広告データだけでなく同じデータベースの内容全体に及ぶことがあります。
よくある質問
Q.Joomla本体も更新する必要がありますか。
Q.レンタルサーバーやホスティングで運用している場合は、どうすればよいですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Joomla Extension - dj-extensions.com - Unauthenticated SQL injection in DJ-Classifieds < 3.11.3 - The Joomla extension DJ-Classifieds is vulnerable to an unauthenticated SQL injection vector in the frontend search.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web dj-extensions.com
- web nvd.nist.gov
- web github.com