脆弱性情報サマリー 概要 本ページでは、ポーランド国立清算センター（Krajowa Sieć Rozliczeniowa, KSR）が開発する Szafir ソフトウェアおよびその SDK に存在する 2 つの脆弱性が公開されています。 1. CVE-2020-28927: Szafir SDK Web に関連する脆弱性。攻撃者が HTML コードをインジェクトすることでセキュリティメカニズムを回避できる（信頼性の低いソースの利用）。これにより、クロスサイトスクリプティング（XSS）などのインジェクト攻撃が起こり得る。 2. CVE-2020-28928: Szafir ソフトウェアに関連する脆弱性。整合性チェック値の検証処理が不適切（Improper Validation of Integrity Check Value）であり、攻撃者がファイルハッシュ値を変更することで整合性チェックを回避できる。 影響範囲 ベンダー: Krajowa Sieć Rozliczeniowa (KSR) 対象ソフトウェアおよびバージョン: Szafir SDK Web: バージョン 0.17.4 未満の全バージョン。 Szafir: バージョン 1.1.0 未満の全バージョン。 修正方法 Szafir SDK Web を 0.17.4 以降にアップグレードする。 Szafir ソフトウェアを 1.1.0 以降にアップグレードする。 POC/エクスプロイト ページ内には具体的な POC コードやエクスプロイトコードは提供されておらず、脆弱性のテキスト説明のみが記載されている。