ホーム›サポート・不具合報告›JVN#55454512 SHIRASAGIにおけるクロスサイト・スクリプティング脆弱性とOSコマンドインジェクション脆弱性

JVN#55454512 SHIRASAGIにおけるクロスサイト・スクリプティング脆弱性とOSコマンドインジェクション脆弱性

JPCERT コーディネーションセンターと独立行政法人情報処理推進機構 (IPA)が共同運営するJVNに、SHIRASAGI における複数の脆弱性としてクロスサイト・スクリプティング脆弱性とOSコマンドインジェクション脆弱性が公開されました。

https://jvn.jp/jp/JVN55454512/

クロスサイト・スクリプティング脆弱性（CVE-2026-117679）

この脆弱性をついた攻撃を成立させるには、下記の条件が必要となります。

Case 1

  1. シラサギのCMSの管理画面にログインし広告ページを編集する。なおログインするユーザーには広告を管理するための権限が設定されているものとする。
  2. 広告ページの追加属性に"onclick"="alert(document.URL)" のような内容を入力し保存する。
  3. 公開画面で広告を表示しているページにユーザーを誘導し広告をクリックさせる。

Case 2

  1. シラサギのCMSの管理画面にログインし広告ページを編集する。なおログインするユーザーには広告を管理するための権限が設定されているものとする。
  2. 広告ページの「リンク表示」をブラウザの開発者ツールなどでselectからinput type="text"へ変更し、_self" onclick="alert('xss'); のような内容を入力し保存する。広告ページではなく広告バナーパーツの「リンク表示」でも同様。
  3. 公開画面で広告を表示しているページにユーザーを誘導し広告をクリックさせる。

Case 1の脆弱性はv1.12.0以降v1.21.0以前のシラサギに存在し、Case 2の脆弱性はv1.19.0以降v1.21.0以前のシラサギに存在しています。これらの脆弱性はv1.21.1で修正されています。

v1.12.0以降v1.21.0以前のバージョンをお使いの方はv1.21.1へのバージョンアップを実施頂くか、下記のコミットの反映をお願いします。

  • https://github.com/shirasagi/shirasagi/commit/38f2c983521ed046f8a002b85b5a93cb11aa4919
  • https://github.com/shirasagi/shirasagi/commit/799b34891bfb8d720dcde56b0898bd658f7cdc3e
  • https://github.com/shirasagi/shirasagi/commit/f0e2afa68a58b93bbc365d252ebfe318361042ba
  • https://github.com/shirasagi/shirasagi/commit/11b2648f5cb0446017a28cd19b3ef002a3fad4ad
  • https://github.com/shirasagi/shirasagi/commit/570d88f133b31e3c3610f0ee0b84aa8c8808c4fa
  • https://github.com/shirasagi/shirasagi/commit/eb1ed4623a27513345b4a05c7d44e582aeb501c9
  • https://github.com/shirasagi/shirasagi/commit/3693ab8626634a83800862910e1965a627733213
  • https://github.com/shirasagi/shirasagi/commit/b32fd1471876d3021d123c78a06b5f7a4ce3037c

OSコマンドインジェクション脆弱性（CVE-2026-118869）

この脆弱性をついた攻撃を成立させるには、下記の条件が必要となります。

  1. シラサギのCMSの管理画面にオープンデータ・データセットのハーベストのインポートを編集する。なお当該サイトにはオープンデータが適切に構築されており、ログインするユーザーにはオープンデータ・データセットおよびそのハーベストを管理するための権限が設定されているものとする。
  2. ハーベスト・インポートの「URL」に、|touch /tmp/hacked のような内容を入力し保存する。
  3. 保存後に表示される画面の「データセットをインポートする」をクリックする。

この脆弱性はv1.19.0以降v1.21.0以前のシラサギに存在し、v1.21.1で修正されています。v1.18.2以前のシラサギにはオープンデータ・ハーベスト機能が存在しないか存在していても安全な実装のため本脆弱性は存在しません。

v1.19.0以降v1.21.0以前のバージョンをお使いの方はv1.21.1へのバージョンアップを実施頂くか、下記のコミットの反映をお願いします。

  • https://github.com/shirasagi/shirasagi/commit/98eca87586f4a6f74114fdfa7a6b88d3e49af029

謝辞

クロスサイト・スクリプティング脆弱性およびOSコマンドインジェクション脆弱性は東京理科大学 創域理工学部 経営システム工学科の佐藤勇斗氏により発見・ご報告いただきました。

いただいたご報告をもとに問題を確認し、改善につなげることができました。弊社サービスの安全性向上にご協力いただきましたこと、両氏に心より御礼申し上げます。

v1.14.2 以前のバージョンからのバージョンアップ時の注意点

v1.14.2 以前のバージョンをお使いの方向けの注意点として、シラサギ1.15.0 リリースに記載しているとおり CMS に重大な非互換がありますので、この点を考慮の上バージョンアップを検討するようにしてください。

このページの先頭へ