🌐 言語: 🇻🇳 Tiếng Việt · 🇬🇧 English · 🇯🇵 日本語（現在）
GP247 セキュリティリリース
はじめに
このページは、gp247/core、gp247/front、gp247/shop の 3.x 系のうち、セキュリティ上の問題を修正したリリースを新しい順に一覧にしたものです。
対象はサイト運営者・管理者です。稼働中のバージョンを「ひと目でわかる」の表と比べるだけで、サイトが安全か、更新が必要かがわかります。
ひと目でわかる — 安全な最低バージョン
| リポジトリ | 安全な最低バージョン | 最新のセキュリティ修正 |
|---|---|---|
| gp247/core | 3.5.0 | 2026-10-28 |
| gp247/front | 3.0.1 | 2026-09-02 |
| gp247/shop | 3.3.1 | 2026-10-28 |
⚠️ 注意: セキュリティ修正を受けられるのは 3.x 系のみです。2.x で稼働中のサイトは 3.x へ移行してください。
gp247/shop3.3.1 にはgp247/core3.3 以上が必要です。両方を同時に更新してください。
💡 稼働中のバージョンの確認:
php artisan gp247:info、またはcomposer show "gp247/*"。
タイムライン
| 日付 | リリース | リポジトリ | セキュリティ問題 |
|---|---|---|---|
| 2026-10-28 | 3.5.0 | gp247/core | 総当たり / リクエスト偽造 — 管理画面のログインフォームに試行回数の制限がありませんでした。また、管理者がログイン中に別のサイトからファイルマネージャーのファイル削除・名前変更・移動を実行させることができました |
| 2026-10-28 | 3.3.1 | gp247/shop | 価格の改ざん — 顧客がマイナスの数量で注文でき、注文合計が 0 以下になり在庫が狂いました |
| 2026-10-28 | 3.4.0 | gp247/core | 秘密情報の露出 — 3.2.3 より前からアップグレードしたサイト（API を有効にしたサイト）：3.2.3 より前に発行された API トークンが期限切れにならず、旧 API キーがデータベースに平文で残っていました。gp247:update で旧トークンに有効期限を設定し、平文のキーを削除します |
| 2026-10-27 | 3.2.3 3.2.3 |
gp247/core gp247/shop |
権限 / データ漏えい — REST API（API を有効にしたサイト）：管理 API に管理者権限とストア範囲が適用されていませんでした。API ログインの試行回数に制限がなく、トークンが失効せず、API キーが平文で保存されていました。公開 API が内部項目（原価、仕入先、在庫）と未公開の商品を返していました。このほか、ロックされた顧客もログインできました |
| 2026-10-21 | 3.1.2 | gp247/core | パストラバーサル / SSRF — 拡張機能のインストールと更新が、信頼できないパッケージやダウンロード URL をそのまま使っていました。リダイレクト経由でライセンスが別のホストへ送られる可能性がありました |
| 2026-09-29 | 3.0.14 | gp247/core | 秘密情報の露出 — 設定画面が復号済みの秘密情報（SMTP パスワード、シークレットキー）をブラウザへ送っていました |
| 2026-09-04 | 3.0.3 | gp247/core | 秘密情報の露出 — 設定の秘密情報（SMTP パスワード、クライアントシークレット、ライセンス）がデータベースに平文で保存されていました。現在は暗号化されます |
| 2026-09-02 | 3.0.1 3.0.2 |
gp247/front gp247/shop |
データ漏えい — 一部の管理画面（リンクグループ、カテゴリ、注文作成時の商品選択）に他ストアのデータが表示されていました（マルチストアのサイト） |
更新方法
- データベースとサイトのフォルダーをバックアップします。
- コードを更新します。
composer update gp247/core gp247/front gp247/shop - データ・設定・キャッシュの更新を適用します。
php artisan gp247:update php artisan gp247:infoでバージョンを再確認します。
詳しい手順は GP247 の更新（英語版）をご覧ください。
脆弱性の報告
脆弱性を見つけた場合は、gp247.net@gmail.com へメールでお知らせください。修正版の公開前に問題が広まらないよう、GitHub の公開 Issue は使わないでください。
よくある質問（Q&A）
Q1: 自分のサイトは影響を受けますか？
→ 稼働中のバージョンを「ひと目でわかる」の表と比べてください。いずれかのリポジトリが最低バージョン未満であれば、更新が必要です。
Q2: マルチストアや API を使っていなくても、更新は必要ですか？
→ 「（マルチストアのサイト）」「（API を有効にしたサイト）」と書かれた行は影響しませんが、それ以外の行は影響します。最低バージョンへの更新を常におすすめします。
Q3: まだ 2.x を使っている場合は？
→ 2.x 系はセキュリティ修正の対象外で、このページにも記載していません。更新ガイドに沿って 3.x（「ひと目でわかる」の表の最低バージョン）へ移行してください。
Q4: なぜ問題の悪用方法を詳しく説明しないのですか？
→ 未更新のサイトを狙う攻撃者の手がかりにならないようにするためです。このページでは、問題の種類、影響範囲、修正済みリリースのみを記載しています。
📅 最終更新: 2026-10-28 · ✍️ 作成者 (Author): GP247