JVNDB-2026-009943

Autheliaにおけるクロスサイトスクリプティングの脆弱性

Autheliaは、ウェブポータルを介してアプリケーション向けに二要素認証およびシングルサインオン（SSO）を提供するオープンソースの認証および認可サーバーです。バージョン4.39.15において、複数の条件が同時に満たされた場合に、攻撃者がAutheliaのログインページにJavaScriptを注入できる可能性があります。`script-src`と`connect-src`の両方のディレクティブが変更されていない限り、この影響が意味のあるものになることはほぼ不可能です。しかし、これらの両方が変更され、その潜在的な影響を考慮せずに行われた場合、この脆弱性が悪用される状況が存在します。この原因は、HTMLテンプレートをレンダリングする際に`language`クッキーの値が中和されていないことにあります。この脆弱性は、Autheliaの設計上、フィンガープリンティングで発見するのが困難ですが、不可能ではありません。副次的なアプリケーションを特定する追加要件は、同時に特定するのがさらに難しい可能性がありますが、フィンガープリンティングの観点では容易になる場合もあります。ユーザーは問題を軽減するために4.39.16にアップグレードするか、4.39.14にダウングレードすることを推奨します。大多数のインストール環境は影響を受けず、ワークアラウンドは必要ありません。Content Security Policyのデフォルト値によって、この脆弱性の悪用は完全に不可能です。これはContent Security Policyを故意に削除するか、明確に危険とされるポリシーを故意に含めた場合にのみ起こり得ます。

Authelia

• Authelia 4.39.15

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Improper Neutralization of Input During Web Page Generation Leads to Potential Cross-site Scripting  Advisory  authelia/authelia  GitHub

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-33525

1. National Vulnerability Database (NVD) : CVE-2026-33525

• [2026年04月06日]
    掲載