JVNDB-2026-007739

Dark Readerにおける複数の脆弱性

Dark Readerはウェブページの色を暗くするアクセシビリティ用のブラウザ拡張機能です。この拡張の動的ダークモード機能は、CSSスタイルシートファイルに含まれるウェブページの色を解析することで動作します。クロスオリジンのスタイルシート（元のウェブページとは異なるウェブサイトに保存されているもの）を解析するために、Dark Readerはバックグラウンドワーカーを通じてそのようなファイルをリクエストし、そのリクエストが認証情報なしで行われ、レスポンスのコンテンツタイプがCSSファイルであることを保証していました。Dark Reader 4.9.117以前では、このスタイル内容はHTMLのStyle要素に割り当てられ、スタイル宣言の解析とループに用いられ、またパフォーマンス向上のためページのセッションストレージにも保存されていました。これにより、例えばリンクが`http[:]//localhost[:]8080/style[.]css`を指すことで、ウェブサイト作成者がローカルで動作中のウェブサーバーからスタイルシートをリクエストできてしまう可能性がありました。ホスト名、ポート、ファイル名を総当たり攻撃することはパフォーマンスへの影響が大きいため短時間でブラウザタブがハングすることから考えにくいですが、URLが事前に完全に分かっていればリクエストは可能でした。2025年12月18日時点でこの問題の既知の悪用例は報告されていません。この問題は2025年12月3日のバージョン4.9.117で修正されており、スタイルシートは現代的なConstructed Style Sheets APIを用いて解析され、クロスオリジンのスタイルシート内容はもはやページのセッションストレージに保存されなくなりました。さらにバージョン4.9.118（2025年12月8日）では、ローカルホストの別名、IPアドレス、ポート付きホスト、非HTTPSリソースへのクロスオリジンリクエストが制限されています。大多数のユーザーは1週間以内にバージョン4.9.117または4.9.118への自動アップデートを受けています。しかし、ユーザーは自動更新がブロックされていないことと、拡張機能の最新バージョンを使用していることをchrome://extensionsやabout:addonsのブラウザ設定ページで必ず確認する必要があります。手動ビルドを使用しているユーザーはバージョン4.9.118以降にアップグレードすべきです。独自のウェブサイト用に`darkreader` NPMパッケージを利用している開発者はおそらく影響を受けませんが、クロスオリジンリクエストを行うために`setFetchMethod()`に渡す関数が意図した範囲内で動作していることを確認しなければなりません。Dark Readerの古いバージョンのカスタムフォークを用いて他の拡張機能を構築したり、アプリやブラウザに組み込んだ開発者は、クロスオリジンリクエストを安全に行い、レスポンスがアプリや拡張機能外部からアクセスされないようにしなければなりません。

Dark Reader

• Dark Reader 4.9.117 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Ability to request style sheets from local web servers  Advisory  darkreader/darkreader  GitHub

1. 情報漏えい(CWE-200) [その他]
2. 同一生成元ポリシー違反(CWE-346) [その他]
3. 誤った領域へのリソースの漏えい(CWE-668) [その他]

1. CVE-2025-68467

1. National Vulnerability Database (NVD) : CVE-2025-68467

• [2026年03月19日]
    掲載