判定
- 現在の判定
- Emergency（緊急）
- 攻撃条件
- 満たす（AV・PR・UI がすべて N か）
- 攻撃能力
- 満たす（RCE・認証回避・シェル取得・root 取得のいずれか）
- 根拠
- AV:N / PR:N / UI:N（CNA・CVSS 3.1） ／ 認証回避
解説
- 概要
- Alchemy CMS の入れ子ページ取得 API が認可を行わず、呼び出し元の権限に応じた範囲制限もしていないことによる情報漏えいです。
- 影響
- 未認証の攻撃者が、制限付き・未公開ページのメタデータを取得できます。elements=true を指定すると、そのページの要素やコンテンツも取得されます。
- 対象
- Alchemy CMS の 7.4.15 未満、8.0.0 以上 8.0.15 未満、8.1.0 以上 8.1.14 未満、8.2.0 以上 8.2.6 未満。
- 対策
- 7.4.15、8.0.15、8.1.14、8.2.6 に修正済みです。
- 判定
- AV:N / PR:N / UI:N（CNA・CVSS 3.1） ／ 認証回避
- 出典
-
- CVE.org: CVE-2026-57579
- https://github.com/AlchemyCMS/alchemy_cms/security/advisories/GHSA-mqq5-j7w8-2hgh
- https://github.com/AlchemyCMS/alchemy_cms/pull/3982
- https://github.com/AlchemyCMS/alchemy_cms/commit/30888fb41d8b71fdfb3b116a7efccd851d73e1f3
- https://github.com/AlchemyCMS/alchemy_cms/commit/5620e76f0d274d6f69f34281b7e46d01879f6b99
- https://github.com/AlchemyCMS/alchemy_cms/commit/8417a2e9dcb00653c8b238f8a040b09532dd4c0f
- https://github.com/AlchemyCMS/alchemy_cms/commit/85702d9fe4e247649b1358900c5af853e83b4a3a
- https://github.com/AlchemyCMS/alchemy_cms/commit/a082dd0afe188d199f386a5e1db01987d0de807f
- https://github.com/AlchemyCMS/alchemy_cms/releases/tag/v7.4.15
- https://github.com/AlchemyCMS/alchemy_cms/releases/tag/v8.0.15
- https://github.com/AlchemyCMS/alchemy_cms/releases/tag/v8.1.14
- https://github.com/AlchemyCMS/alchemy_cms/releases/tag/v8.2.6
CVSS 評価
| 出所 | 版 | AV / PR / UI | ベクトル | 出所側の更新日時 |
|---|---|---|---|---|
| CNA（採用） | 3.1 | AV:N / PR:N / UI:N | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N | 2026-09-15 01:54 |
攻撃能力（AI 判定）
| RCE | 非該当 |
| 認証回避 | 該当 |
| シェル取得 | 非該当 |
| root 取得 | 非該当 |
根拠
-
RCE ・ CNA の説明文および CVSS 評価
Anonymous callers can retrieve restricted and unpublished page metadata that the sibling show action denies. When elements=true is supplied, PageTreeSerializer also returns element and ingredient content from restricted pages
-
RCE ・ CNA の CVSS 評価
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
-
認証回避 ・ CNA の説明文
the unauthenticated GET /api/pages/nested endpoint implemented by Api::PagesController#nested in app/controllers/alchemy/api/pages_controller.rb returns an unfiltered page tree because it performs no authorization and does not scope descendants by the caller's ability.
-
認証回避 ・ CNA の説明文
Anonymous callers can retrieve restricted and unpublished page metadata that the sibling show action denies.
-
シェル取得 ・ CNA の説明文および CVSS 評価
Anonymous callers can retrieve restricted and unpublished page metadata that the sibling show action denies. When elements=true is supplied, PageTreeSerializer also returns element and ingredient content from restricted pages
-
シェル取得 ・ CNA の CVSS 評価
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
-
root 取得 ・ CNA の説明文および CVSS 評価
Anonymous callers can retrieve restricted and unpublished page metadata that the sibling show action denies. When elements=true is supplied, PageTreeSerializer also returns element and ingredient content from restricted pages
-
root 取得 ・ CNA の CVSS 評価
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
モデル gpt-6-luna ・ プロンプト 2026-10-10 ・ 2026-10-13 05:54 ・ 入力 SHA-256 e056de815eef
一致した監視対象製品
-
Ruby on Rails — 説明文で一致 （AI の判定: 影響を受けるか 非該当）
Alchemy is an open source content management system engine written in Ruby on Rails. Prior to 7.4.15, 8.0.15, 8.1.14, and 8.2.6, the unauthenticated GET /api/pages/nested endpoint implemented by Api::PagesController#nested in app/controllers/alchemy/api/pages_controller.rb returns an unfiltered page tree because it performs no authorization and does not scope descendants by the caller's ability. Anonymous callers can retrieve restricted and unpublished page metadata that the sibling show action denies. When elements=true is supplied, PageTreeSerializer also returns element and ingredient content from restricted pages because PageTreePreloader and the serializer do not apply an ability check to those records. This issue is fixed in versions 7.4.15, 8.0.15, 8.1.14, and 8.2.6.
変更履歴
-
2026-09-15 02:40
- Emergency（緊急） と判定した
→ Emergency（緊急）