対象製品とバージョン：
2.0.0.0（初版）、2.1.0.0（Update 1）、2.2.0.0（Update 2）、2.2.2.0（Update 2.2）、2.2.3.0（Update 2.3）、2.2.4.0（Update 2.4）、2.2.5.0（Update 2.5）、2.2.6.0（Update 2.6）
3.0.5.0（初版）、3.0.8.0、3.0.105.0、3.0.109.0、3.0.112.0、3.0.113.0、3.0.114.0、3.0.115.0
4.0.104.0（初版）、4.0.105.0、4.0.106.0、4.0.107.0
本不具合（脆弱性）は以下のバージョンで修正されました。最新版のプログラムはアップデートの入手ページからダウンロードできます。
アップデートの入手ページはこちら
修正バージョン：
3.0.116.0
4.0.108.0
Forguncy 2は2019/01/27をもって通常サポートが終了しています。本不具合の修正の適用は、アップグレードをご検討ください。
公開日
2019年12月24日
想定される影響
攻撃者にこの脆弱性を利用された場合、メール内に記載のURLが改ざんされたパスワードリセットメールをユーザーに送信できます。これにより、ユーザーは攻撃者が用意したページへと誘導される可能性があります。
脆弱性への対応方法
上記の脆弱性が修正されたバージョンを入手し、Forguncy BuilderとForguncy Serverの両方をアップデートします。その後、Forguncy Server上で動作しているすべてのアプリケーションを、再発行します。アップデートの手順については、以下のヘルプのページを参照してください。
[バージョン 3] Forguncyをアップデートする
[バージョン 4] Forguncyをアップデートする
バージョン 3の場合、Forguncyのアップデートに加え、各アプリケーションに対してForguncy Server側でのアプリケーションURLパスの設定（固定化）が必要です。次のヘルプドキュメントの内容に従い、適切な設定を行ってください。
※本件に関して、Forguncy プラグインの更新は必要ありません。
脆弱性の種類
不適切な入力値の使用
脆弱性の基本評価（CVSS v3）
- 攻撃元区分(AV)：ネットワーク
- 攻撃条件の複雑さ(AC)：高
- 必要な特権レベル(PR)：なし
- ユーザ関与レベル(UI)：要
- 影響の想定範囲(S)：変更なし
- 機密性への影響(C)：高
- 完全性への影響(I)：高
- 可用性への影響(A)：高
CVSS v3基本値（深刻度）
7.5（High／重要）
補足
- 攻撃につながる恐れがあるため、再現手順は公開していません。
- 脆弱性の評価については共通脆弱性評価システム「CVSS（Common Vulnerability Scoring System） v3」を利用しています。
CVSS v3
検索キーワード： fgcsecurity