JVNDB-2026-004836

LinkAceにおけるクロスサイトスクリプティングの脆弱性

LinkAceはウェブサイトのリンクを収集するセルフホスト型のアーカイブです。バージョン2.4.2以下には、リストのAtomフィードエンドポイント（/lists/feed）を通じたストアドクロスサイトスクリプティング（XSS）の脆弱性があります。認証されたユーザーは、XMLのCDATAセクションを抜け出すCDATA破壊ペイロードをリスト説明に注入でき、Atom XMLドキュメントにネイティブSVG要素を挿入し、フィードURLにアクセスした際にブラウザで任意のJavaScriptを直接実行させることが可能です。RSSリーダーや追加のレンダリングコンテキストは不要であり、ブラウザのネイティブXMLパーサが注入されたSVGを処理し、onloadイベントハンドラを発火させます。この脆弱性は、リストのフィードテンプレートがCDATAブロック内でBladeの生の構文（{!! !!}）を用いてサニタイズせずにリスト説明を出力していることに起因します。重要な点は、出力が![CDATA[...]]内にあるため、攻撃者がシーケンス]]を注入してCDATAセクションを早期に閉じ、その後ブラウザがネイティブにAtomドキュメントの一部として解析・実行する任意のXML/SVG要素を注入できることです。この問題はバージョン2.4.3で修正されました。

LinkAce

• LinkAce 2.4.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Stored XSS in Atom Feed via CDATA Escape in List Description  Advisory  Kovah/LinkAce  GitHub

1. クロスサイトスクリプティング (Basic XSS)(CWE-80) [その他]

1. CVE-2026-27458

1. National Vulnerability Database (NVD) : CVE-2026-27458
2. 関連文書 : Properly escape strings in XML containing CDATA blocks  Kovah/LinkAce@eb5ba2a  GitHub

• [2026年02月26日]
    掲載