重要な脆弱性情報 CVE ID: CVE-2025-67443 概要: Schlix CMSのv2.2.9-5以前のバージョンは、ログインフォームでのJavaScriptのサニタイズ処理が欠如しているため、クロスサイトスクリプティング(XSS)の脆弱性に晒されています。 影響を受ける製品/バージョン: - ベンダー: Schlix - プロジェクト/リポジトリ: https://www.schlix.com/ - 影響を受けるバージョン: v2.2.9-5より前 - 修正バージョン: v2.2.9-5 脆弱性の種類: クロスサイトスクリプティング(保管型XSS) - CWE-79 攻撃タイプ: リモートから; 管理者がログイン試行ログページにアクセスする必要がある。 影響: クロスサイトスクリプティングにより、セッションハイジャック、盗まれたクッキーやlocalStorageを用いた資格情報漏洩、フィッシング、または強制アクションが可能になる。 攻撃ベクトル: 攻撃者は「name」パスセグメント(例:/author/)に悪意あるペイロードを含むURLを生成し、被害者がそれをクリックするように仕向ける。 参照情報: Schlix CMSリリース(パッチ): リンク ベンダー確認: ベンダーは本問題を修正するパッチ(v2.2.9-5)をリリースした。 対策/修復: ベンダー提供のパッチを適用する(v2.2.9-5にアップグレードする)。 発見者: Akiner Kisa