F-RevoCRMバージョン7系以降の脆弱性と対応について

平素よりF-RevoCRMをご利用いただき誠にありがとうございます。

この度、F-RevoCRMバージョン7系以降（7系・8系）において脆弱性が発見されました。それに伴い本日リリースのF-RevoCRM 8.0.4 にて脆弱性を修正しましたのでお知らせ致します。

対象アプリケーション

F-RevoCRM 7.3.0　〜　F-RevoCRM 8.0.3 までのバージョン7系以降全て

概要

クロスサイトスクリプティングにより、F-RevoCRMにログインしているユーザーのウェブブラウザ上で任意のスクリプトが実行される可能性があります。

想定される影響

細工されたURLにアクセスした場合、当該サイトにログインしているユーザーのウェブブラウザ上で任意のスクリプトが実行される可能性があります。
この結果、意図しない操作が行われる、またはセッション情報が窃取されアカウントが不正に利用されるおそれがあります。

深刻度

CVSS v3.0 基本値 6.1（警告）

CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

CVSS v4.0 基本値 5.1（警告）

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N

回避方法

F-RevoCRMにログインした状態のみ本脆弱性は有効となります。そのため、信頼性が低い外部サイトを参照する場合などはF-RevoCRMからログアウトした状態にしておく、あるいは別のブラウザを利用していただくことで回避することが可能です。
また、Proxyサーバなどで不適切なサイトへのアクセスを制限することも影響を軽減することが期待できます。

対策

F-RevoCRM 8.0.4 までのアップデートを実施してください。
バージョンアップについてはGitHubに公開されているプログラムに付属のReadmeをご覧ください。
https://github.com/thinkingreed-inc/F-RevoCRM/releases/tag/v8.0.4

また、当社シンキングリードのサポート契約を締結されているお客様環境は、すでに対応済みとなります。