JVNDB-2026-005304

Zippy CRMのZstoreにおけるクロスサイトスクリプティングの脆弱性

Zstore（現在はZippy CRMと呼ばれる）のバージョン6.5.4には、反射型クロスサイトスクリプティングの脆弱性が存在し、攻撃者が検証されていない入力パラメータを通じて悪意のあるスクリプトを注入できる可能性があります。攻撃者は手動で挿入ポイントに細工されたペイロードを送信することで、被害者のブラウザコンテキスト上で任意のJavaScriptコードを実行できます。

Zippy CRM

• Zstore 6.5.4

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Exploit Database

• Exploits : Zstore 6.5.4 - Reflected Cross-Site Scripting (XSS) - PHP webapps Exploit

VulnCheck

• VulnCheck : Zstore 6.5.4 - Reflected Cross-Site Scripting (XSS)  | Advisories | VulnCheck

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2023-53985

1. National Vulnerability Database (NVD) : CVE-2023-53985
2. 関連文書 : CVE-nu11secur1ty/vendors/zippy/zstore-6.5.4 at main  nu11secur1ty/CVE-nu11secur1ty  GitHub
3. 関連文書 : CRM система   для складського облку та торгвл
4. 関連文書 : GitHub - leon-mbs/zstore: Облкова програма (склад, торгвля, виробництво) з веб-нтерфейсом

• [2026年03月02日]
    掲載