JVNDB-2026-007445

FIT2CLOUDの1panelにおけるクロスサイトスクリプティングの脆弱性

1Panelは、Linuxサーバー管理のためのオープンソースのウェブベースコントロールパネルです。1Panel App Storeのアプリケーション詳細表示時に、保存型クロスサイトスクリプティング（XSS）脆弱性が存在します。悪意のあるスクリプトがユーザーのブラウザのコンテキストで実行され、セッションデータや機密システムインターフェースが侵害される可能性があります。v1.10.33-ltsおよびv2.0.16を含むすべての1Panelのバージョンが影響を受けます。攻撃者は悪意のあるアプリケーションを公開でき、ユーザーがそれをローカルまたはリモートでロードすると任意のスクリプトが実行されます。これにより、ユーザークッキーの窃取、システム機能への不正アクセス、または機密性、完全性、可用性を損なうその他の行動が発生するおそれがあります。この脆弱性は、`previewOnly`属性が有効なMdEditorコンポーネントによってレンダリングされるコンテンツのサニタイズが不十分であることに起因します。具体的には、App StoreがREADMEコンテンツを適切なXSS保護なしにレンダリングし、コンテンツ表示時にスクリプトが実行される問題があります。同様の問題はシステムアップグレード関連のコンポーネントにも存在します。これらはMdEditorコンポーネントに適切なXSSサニタイズを実装することで修正可能です。この脆弱性は、MdEditorコンポーネントのコンテンツレンダリング時に適切なXSS保護とサニタイズを適用することで軽減できます。パッチが適用された安全なバージョンはv1.10.34-ltsおよびv2.0.17です。

FIT2CLOUD

• 1panel 1.10.34 未満
• 1panel 2.0.0 以上 2.0.17 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') in 1panel App Store  Advisory  1Panel-dev/1Panel  GitHub

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-23525

1. National Vulnerability Database (NVD) : CVE-2026-23525

• [2026年03月16日]
    掲載