PostizにCVE-2026-115931／115932／115933の重大脆弱性。サーバーの機密ファイル取得、セッショントークン偽造などの影響と修正版2.25.3を解説。
30秒でわかる / THE SIGNAL
SNS運用ツールPostizでCVSS最大9.9のCRITICAL脆弱性3件が報告された。登録ユーザーによる内部情報へのアクセス、サーバー上のファイル取得、署名付きトークン偽造が問題となる。開発元の修正版2.25.3以上へ更新し、公開登録とアカウント・認証情報を点検したい。
投稿管理ツールが機密情報への入口になる
複数SNSへの投稿を管理するPostizで、CVE-2026-115931、CVE-2026-115932、CVE-2026-115933の3件の重大脆弱性が公表された。深刻度はそれぞれCVSS 9.9、9.6、9.9（CRITICAL）。セルフホストで利用する場合、SNS運用のためのツールがサーバー内部の機密情報や他ユーザーの権限に触れる入口になる可能性がある。
公式修正版：https://github.com/gitroomhq/postiz-app/releases/tag/v2.25.3
① 内部機能を経由した機密情報アクセス（CVE-2026-115931）
認証済みの利用者が本来公開されていない内部処理を呼び出し、サーバー上の設定や認証情報を取得したり、サービスを停止させたりする恐れがある。自己登録が許可されている環境では、攻撃者が利用者アカウントを作成できる点にも注意が必要だ。個別の影響開始バージョンは公式情報で確認し、単純に全バージョンが同じ条件で影響すると決めつけない。
② 投稿メディア経由のファイル取得（CVE-2026-115932）
投稿メディアのパスがアップロード用ディレクトリの内側か十分に検証されず、登録ユーザーが細工したメディアパスを保存すると、公開処理のワーカーがサーバー上の任意ファイルを読み込み、攻撃者の管理するDiscordサーバーへ添付送信する恐れがある。自己登録が既定で有効な構成では、攻撃者が既存アカウントを持たなくても登録して試みられる。
③ トークンの用途を区別せず署名（CVE-2026-115933）
Postizはセッション、招待、パスワード再設定など異なる用途のトークンに共通の署名秘密鍵を使用し、トークン用途を十分に区別していなかった。特定の経路で利用者が任意の内容を署名させ、別用途の正当なトークンとして扱わせることが可能だった。この問題は他ユーザーや組織へのなりすましにつながり得る。
修正版と運営者の対応
開発元は2.25.2、2.25.3などで関連するセキュリティ修正を公開している。3件をまとめて対処するには少なくとも2.25.3以上への更新を優先し、実際の導入版と各修正コミットの対応も確認したい。あわせて公開ユーザー登録の必要性、権限の高いアカウント、セッションやAPIキーの不審な使用を点検する。機密情報の漏えいが疑われる場合は資格情報のローテーションも検討する。公開情報では実環境での悪用は確認できていない。
WORK SIGNALの視点｜便利な運用ツールにも権限境界が必要
SNS管理は日常業務に組み込まれやすいが、連携先の認証情報や投稿権限を集約するため、侵害された際の影響も大きい。利用者登録、内部ファイルへのアクセス、署名付きトークンの用途という3つの境界を、更新と運用設計の両面から守ることが重要だ。