バグまとめ バグ [1]：データベース監視モジュールの未認証アクセス - CVE-2025-8765 概要 Sage DPW の非デフォルト構成では、データベース監視機能の診断エンドポイントへの未認証アクセスが許可され、機密情報（ハッシュ値、テーブル名など）が暴露される可能性があります。この機能はデフォルトで無効になっており、Sage DPW Cloud では利用できません。バージョン 2025_06_003 以降では、この機能が強制的に無効化されています。 影響範囲 影響を受けるコンポーネント： エンドポイント 影響を受けるバージョン：非デフォルト構成のローカルデプロイメント版（バージョン 2025_06_003 より前） Sage DPW Cloud は影響を受けません 修復方法 バージョン 2025_06_003 以降にアップグレードする この機能は強制無効化されています --- バグ [2]：ログインフィードバックによるユーザー列挙 - CVE-2025-8766 概要 Sage DPW のログイン機構は、有効なユーザー名と無効なユーザー名に対して異なるレスポンスを返すため、攻撃者がシステム内に存在するアカウントを列挙（Enumerate）することが可能です。 影響範囲 影響を受けるコンポーネント：認証/ログイン処理モジュール 影響を受けるバージョン：バージョン 2021_06_000 より前の版 Sage DPW Cloud は影響を受けません（本機能は構成不可能） 修復方法 ローカルデプロイメントの管理者は、新しいバージョンでこの動作を無効に切り替えることができます --- バグ [3]：メールおよびHTTP-POST経由の格納型XSS - CVE-2025-8767 概要 データベース監視モジュールの評価およびメール機能に格納型XSS（反射型ではありません）脆弱性があります。入力値のフィルタリングが行われていないため、ローカルユーザーコンテキストにおいてHTMLやJavaScriptが実行される可能性があります。影響は限定的で、ペイロードはローカルでのみ実行され、クッキーは HttpOnly 属性により保護されています。 影響範囲 影響を受けるコンポーネント： ならびにメール/POST機能 影響を受けるバージョン：非デフォルト構成のローカルデプロイメント版（バージョン 2025_06_004 より前） Sage DPW Cloud は影響を受けません 修復方法 バージョン 2025_06_004 以降にアップグレードする --- 共通参考情報 セキュリティ公告出所：Limes Security 公式参照：https://www.sagedpw.at/