■問題の内容

攻撃者が当該のswfファイルのURLの後ろに、引数として任意のJavaScriptコードを付加したURLを作成し、そのURLをメールに記載するなどして第三者にアクセスさせた場合に、攻撃者が設定したJavaScriptが実行されます。

■問題の影響範囲

この脆弱性はFlashファイルに起因するもので、Flashが実行できる状態に設定しているブラウザでアクセスした場合のみ、JavaScriptを実行されます。
最近のブラウザではFlashは無効とする設定となっているため、ほとんどの利用者には影響がないと思われます。

■発生原因

本脆弱性は、CMSのプログラムではなく、公開Webサーバーにswfファイル（flashファイル）が配置されていることから発生します。
このため当該のファイルを削除するとこの問題はなくなります。
CMSをバージョンアップしても当該のファイルは削除されないため対処できません。

■対応方法

CMS管理画面の「ディレクトリ＞ファイル管理」から、/_common/js/swfupload/に移動し、swfupload.swfを削除してください。
１つのCMS内で複数のサイトを管理している場合は、サイトごとにファイルの削除を行っていただく必要があります。

swfupload.swfはJoruri CMS 2017では使用していないため、削除しても影響はありません。

Joruri CMS 2017 Release 3以降からご利用の場合は、該当ファイルは削除しているため脆弱性の影響はありません。