openEQUELLAにOSコマンド実行の脆弱性、修正版2026.1あり
Summary
教材管理基盤のopenEQUELLAに、スクリプト機能を通じてサーバー上で任意のOSコマンドを実行できる脆弱性が見つかりました。スクリプトを作成・編集できるアカウントがある環境が対象で、修正版が出ています。まず自社の版とスクリプト権限の持ち主を洗い出し、修正版へ更新してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
教材管理基盤のopenEQUELLAに、スクリプト機能を通じてサーバー上で任意のOSコマンドを実行できる脆弱性が見つかりました。スクリプトを作成・編集できるアカウントがある環境が対象で、修正版が出ています。まず自社の版とスクリプト権限の持ち主を洗い出し、修正版へ更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Apereo Foundation | openEQUELLA |
< 2026.1 |
2026.1 |
Original description The description as published by the source.
In openEQUELLA before 2026.1, the system.execute() function available to the scripting engine runs supplied operating system commands without validation or an allow-list of permitted executables. A user able to create or edit scripts can use it to execute arbitrary commands with the privileges of the openEQUELLA service account.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web github.com
- web openequella.github.io
- web nvd.nist.gov
- web openequella.github.io
- web github.com