Concrete CMS（旧称 concrete5）の新しいバージョン「9.5.3」がリリースされました。
今回のリリースでは、ファイル管理やユーザー管理を中心とした使い勝手の改善、多数のバグ修正に加え、多くのセキュリティ上の問題が修正されています。
9.5.3の新機能
- ファイルをフォルダーへ移動する際、移動先のフォルダーを並び替えて選択できるようになりました
- ファイルアップロード時のフォルダー選択が改善されました
- ユーザーごとにタイムゾーンを設定できる場合、新規ユーザー作成時にもタイムゾーンを指定できるようになりました
- サムネイル画像を生成するタスクに新しいオプションが追加されました
- ログインフォームでパスワードの表示・非表示を切り替えられるようになりました
- ユーザー検索で、所属しているユーザーグループを一覧に表示できるようになりました
9.5.3の主な機能改善
- ファイルを別のフォルダーへ移動した際、ファイルマネージャーの表示が自動的に更新されるようになりました
- 空のフォルダーへファイルを直接ドラッグ＆ドロップしてアップロードできるようになりました
- ファイルマネージャーのキーワード検索が改善されました
- ユーザー検索で選択している項目のみをエクスポートできるようになりました
- 管理画面のツールチップが残り、操作の邪魔になることがある問題が改善されました
- パッケージのアップデート時に、PHPのOPcacheが自動的にクリアされるようになりました
- 保存した検索条件を削除した際、一覧がすぐに更新されるようになりました
9.5.3の主なバグフィクス
- ファイルマネージャーで「追加日」の列を表示するとエラーが発生する問題を修正
- ユーザーを無効化した後に再度有効化すると、登録通知メールが重複して送信される問題を修正
- 承認ワークフローの通知メールに、誤ったバージョンのコメントが表示される問題を修正
- 多言語サイトで、グローバルエリアからブロックをコピーできない場合がある問題を修正
- 9.5.2で、ゴミ箱からページをドラッグ＆ドロップで復元できなくなっていた問題を修正
- スタック内に設置したフォームで、入力エラーが正しく表示されない問題を修正
- MariaDB 11.4およびMySQL 8.0以降の一部の環境で、Concrete CMSのアップグレードに失敗する問題を修正
- カレンダーイベントブロックでイベントが表示されない場合がある問題を修正
- ページリストブロックをコピーした場合に、ページの場所による絞り込みが正しく動作しないことがある問題を修正
このほかにも、多数の不具合が修正されています。
セキュリティアップデート
今回のリリースでは、多数のセキュリティ上の問題が修正されています。
特に重要度の高いものとして、Risk Rank 8以上の脆弱性が5件含まれています。
-
CVE-2026-18110（Risk Rank 8.7）
適切な権限を持たない利用者から、サイトに登録されている管理者ユーザーの情報やメールアドレスを取得できる可能性がある問題が修正されました。 -
CVE-2026-18111（Risk Rank 8.5）
管理画面のSEO設定をリセットする処理など、一部の管理機能で操作の正当性を確認する処理が不足していた問題が修正されました。修正では、POSTリクエストおよびセキュリティトークンの確認が追加されています。 -
CVE-2026-81894（Risk Rank 8.5）
ファイルの属性値や画像ギャラリーのキャプションなどを通じて、悪意のあるスクリプトを実行できる可能性があるクロスサイトスクリプティング（XSS）の脆弱性が修正されました。関連する修正では、入力値の検証や画像ギャラリーの表示処理が強化されています。 -
CVE-2026-81895（Risk Rank 8.5）
Document Libraryブロックで使用するファイルセットIDの検証が不十分で、細工した値によってデータベースへの問い合わせを不正に操作できる可能性があるSQLインジェクションの脆弱性が修正されました。修正後は、ファイルセットIDを整数として扱うよう入力値の検証が強化されています。 -
CVE-2026-81896（Risk Rank 8.4）
この脆弱性を含むその他のセキュリティ上の問題も修正されています。
今回修正されたRisk Rankの高い脆弱性の多くは、管理画面での編集操作など一定の権限を必要とするものですが、セキュリティ上重要な修正が多数含まれています。Concrete CMS 9をご利用のサイトでは、9.5.3へのアップデートをおすすめします。
9.5.3の開発者向けアップデート
- REST APIに、編集可能なページの下書きバージョンを複製して作成するエンドポイントが追加されました
- REST APIの一部のエンドポイントで、OAuthの権限設定が正しく一致していなかった問題が修正されました
- PHP 8.1との互換性向上のため、一部のライブラリが更新されました
- 依存性注入（DI）において、別名が設定されたクラスをシングルトンとして正しく利用できるようになりました
弊社スタッフも開発に貢献しています
今回のリリースでは、弊社エンジニアによる新機能1件、機能改善1件、バグフィクス8件が含まれています。
Concrete CMSはオープンソースソフトウェアとして、世界中の開発者による継続的な改善によって開発されています。
弊社でも、お客様のWebサイトの開発・保守を通じて発見した問題の報告や修正を積極的に公式プロジェクトへ還元しています。
これらの活動は、アプリケーション保守サービスにご契約いただいている皆様からのご協力で成り立っております。いつもありがとうございます。
バージョンアップ作業の代行をご希望の方は、弊社のアプリケーション保守サポートサービスもご検討ください。
