Geeklog 2.1.1 IVYWE版にクロスサイトスクリプティング(XSS)の脆弱性が存在することが判明しました。
この脆弱性を悪用された場合、悪意ある第三者の攻撃により、攻撃者が用意した攻撃用URLにアクセスしたユーザの環境で不正スクリプトが実行される危険性があります。
この問題の影響を受けるGeeklog IVYWEバージョンを以下に示しますので、以下の修正方法を適用してください。

脆弱性が発見されたGeeklogディストリビューション

Geeklog 2.1.1 IVYWE版: https://github.com/ivywe/geeklog-ivywe
対応状況: https://github.com/ivywe/geeklog-ivywe/commits/master
期間：2015/12/31 - 2016/08/16

対策方法

現在活用中のテーマディレクトリにおけるheader.thtmlおよびarticle/article.thtmlをそれぞれ修正してください。

配布パッケージにおける該当ソースファイル:

public_html/layout/default/header.thtml
public_html/layout/bento/header.thtml
public_html/layout/fotos/header.thtml
public_html/layout/default/article/article.thtml

 

修正方法

以下のファイルの該当箇所を検索してそれぞれ修正してください。

1) public_html/layout/現在利用しているテーマ/header.thtml 修正内容

from:

<?php echo COM_getCurrentURL(); ?>

to:

<?php echo htmlspecialchars(COM_getCurrentURL(), ENT_QUOTES, 'utf-8'); ?>

2) public_html/layout/現在利用しているテーマ/article/article.thtml 修正内容

from:

<?php echo COM_getCurrentURL(); ?>

to:

{site_url}/article.php/{story_id}

以上のファイルをご利用中の方は、至急ご対応くださいますよう、おねがいします。

累計販売2万台の人気機種、注目のアシドロ・コンポスト方式家庭用生ごみ処理機「バイオクリーンBS-02型」および業務用生ごみ処理機の販売を開始させていただきます。

静音なのでマンションベランダでも。悪臭が無い！補充材不要！(10年の実績) 生ごみ処理機の決定版。アシドロ菌を活用。全国配送料無料

匂わない、生ごみの処理速度が速い、バイオ材の補充が不要、省電力、など、これまでの生ごみ処理機の常識を変えた、アシドロ®コンポスト分解方式（特許取得済み）採用の、画期的な商品です。

家庭用の生ごみだけでなく、ペットの糞尿も処理できますので、家庭用や給食センターや老人ホームといった施設だけでなく、動物園でも活用されています。

アシドロ®コンポスト分解方式

アシドロ®コンポスト分解方式は、乳酸菌が主体となって酸性の環境下で基材（菌床）の交換無しで長期間安定的に処理機能が持続するユニークな酸性コンポスト方式です。”アシドロ”は、”酸性”を表すラテン語に由来し、生ごみの処理が酸性で進行する特徴にちなんで名付けられたものです。（東北大学名誉教授　理学博士　西野徳三）

弊社サイトから最安値でのご購入のながれ

6月13日、生ごみ処理機開発・製造会社、スター・エンジニアリング株式会社を訪問しました。

スター・エンジニアリングでは、高温・酸性で働くアシドロ菌を基剤として活用することで、高速かつ無臭で分解する画期的な生ごみ処理機を開発して、家庭用、業務用の製品を製造・販売しています。


https://bioclean.ivywe.co.jp