「JCTables extension for Joomla」の脆弱性 CVE-2026-76570: SQLインジェクション

CVE ID	CVE-2026-76570
対象製品	JCTables extension for Joomla (joomcode.com)
影響バージョン	1.0.0-1.20.0 (affected)
CVSS	10.0 / 10 (緊急) CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:A/AU:Y
CWE	CWE-89 (SQLインジェクション)
公開日	2026年9月30日
更新日	2026年9月30日

CVE ID

CVE-2026-76570

対象製品

JCTables extension for Joomla (joomcode.com)

影響バージョン

1.0.0-1.20.0 (affected)

CVSS

10.0 / 10 (緊急)

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:A/AU:Y

CWE

CWE-89 (SQLインジェクション)

公開日

2026年9月30日

更新日

2026年9月30日

どんな危険があるか

JoomlaエクステンションJCTablesのバージョン1.0.0から1.20.0には、認証なしでSQLインジェクションが可能な脆弱性があります。この脆弱性は、フロントエンドのCRUD APIコントローラがJoomlaトークン検証や認証チェックを全く行わないことに起因します。攻撃者はリクエストパラメータを通じて任意のテーブル名、カラム名、値をSQLクエリに直接挿入でき、データベースの読み書き操作を不正に行うことが可能です。これにより、機密情報の漏洩やデータの改ざん、さらにはサイトの完全な乗っ取りにつながる可能性があります。

今すぐやること

JoomlaエクステンションJCTablesを使用している場合は、直ちにバージョンを確認してください。脆弱性のあるバージョン（1.0.0から1.20.0）を使用している場合は、JCTables 1.21.1以降のバージョンに早急にアップデートしてください。アップデートが困難な場合は、ベンダーアドバイザリを確認し、回避策が提示されていないか確認することを推奨します。

本ページの情報は公開時点 (2026年10月1日) のものです。最新情報は上記の出典を確認してください。

本ページは CVE Program のデータを含みます。CVE および関連するロゴは MITRE Corporation の商標です。CVE レコードは CVE Terms of Use に基づき再構成・掲載しています。

脆弱性データの一部は採番機関 (CNA) 「Joomla」のアドバイザリを出典としています。データは db.gcve.eu (CIRCL / GCVE) 経由で取得しました。