JPCERT コーディネーションセンターと独立行政法人情報処理推進機構 (IPA)が共同運営するJVNに、SHIRASAGI におけるクロスサイト・スクリプティング脆弱性と認可処理の回避の脆弱性が公開されました。

https://jvn.jp/jp/JVN37476837/

クロスサイト・スクリプティング脆弱性（CVE-2026-81635）

この脆弱性をついた攻撃を成立させるには、下記の条件が必要となります。

1. シラサギのCMSの管理画面にログインし、目的別ガイドフォルダーをクリックする。
2. 目的別ガイドの手続きのリンクURLに XSS<script>alert(document.URL)</script> のような内容を入力し、保存する。
3. 公開画面で目的別ガイドを利用しているユーザーに対して、脆弱性のある手続きを表示するように誘導する。

この脆弱性は v1.14.0 以降 v1.20.2 以前のシラサギに存在し、v1.21.0 で修正されています。v1.13.5以前のシラサギには目的別ガイド機能が存在しないため、本脆弱性は存在しません。

v1.14.0 以降 v1.20.2 以前のバージョンをお使いの方は v1.21.0 へのバージョンアップを実施頂くか、下記のコミットの反映をお願いします。

• https://github.com/shirasagi/shirasagi/commit/8d87cbc618c77ec68b04e0a07361fd9e2a566bc7

認可処理の回避の脆弱性（CVE-2026-82582）

この脆弱性をついた攻撃を成立させるには、下記の条件が必要となります。

1. グループウェアの共有ファイルにおいてIDを直接指定してダウンロードすることで、本来アクセス権のない対象を取得することができる。

この脆弱性は v1.20.2 以前のシラサギに存在し、v1.21.0 で修正されています。

v1.20.2 以前のバージョンをお使いの方は v1.21.0 へのバージョンアップを実施頂くか、下記のコミットの反映をお願いします。

• https://github.com/shirasagi/shirasagi/commit/c57b83df0570d4323b3529183ad1b3273280f441
• https://github.com/shirasagi/shirasagi/commit/afca59929c015af402075a1b46bb35abc42bd737
• https://github.com/shirasagi/shirasagi/commit/d09e3e95b62de2fc223804f2d8601eb09fb423ef

謝辞

クロスサイト・スクリプティング脆弱性は東京電機大学理工学部遠隔制御研究室の外崎青波氏により発見・ご報告いただきました。

認可処理の回避の脆弱性は野口晋義氏により発見・ご報告いただきました。

いただいたご報告をもとに問題を確認し、改善につなげることができました。弊社サービスの安全性向上にご協力いただきましたこと、両氏に心より御礼申し上げます。

v1.14.2 以前のバージョンからのバージョンアップ時の注意点

v1.14.2 以前のバージョンをお使いの方向けの注意点として、シラサギ1.15.0 リリースに記載しているとおり CMS に重大な非互換がありますので、この点を考慮の上バージョンアップを検討するようにしてください。