【重要】管理者ページセキュリティの修正と強化に関しまして | JUGEMお知らせブログ

平素はJUGEMに格別のご高配を賜り、厚く御礼申し上げます。 この度、PHPSESSIDが付与された管理者ページURLから外部サイトにアクセスした場合、 外部サイトのアクセス解析に残ったログから、お客様のブログ管理者ページに 他の方がログイン出来た可能性が判明いたしました。 お客様にご心配をお掛けする事となり、誠に申し訳ございません。 本件に関する詳細についてご報告させていただきます。 なお、この不具合に関しましては下記の条件下で発生することを 確認いたしております。 【弊社で確認した発生する条件】 （１）ご利用のブラウザのプライバシー設定が規定値より高く設定されていた場合 （２）セキュリティソフト等でCookieがブロックされてしまった場合 【第三者がログイン出来た条件】 上記（１）（２）のいずれかの条件を満たしたお客様が、JUGEM管理者ページ内から外部サイトへ 遷移した場合に、その外

[ockeghem]

この問題の技術的説明は、徳丸本P164～P171に書いてあります #wasbook

[MinazukiBakera]

Refererを辿られるとログイン状態でアクセスされてしまうという、懐かしい感じがする脆弱性ですね。とはいえケータイ版の管理画面にはありがちなので、Refereがそのまま出ないようにする対策が必要。

[yasan8]

最近セキュリティ不具合おおいですね

[hiroqli]

jugemセッション乗っ取りバグww