JVNDB-2026-010261

PluXmlにおけるクロスサイトスクリプティングの脆弱性

PluXmlバージョン5.8.22以前のPluXmlの記事コメント機能には、ストアド型クロスサイトスクリプティング（XSS）脆弱性が存在します。アプリケーションはコメントの「link」フィールドにユーザーが入力した内容を適切にサニタイズや検証していません。攻撃者はscript要素を使用して任意のJavaScriptコードを注入できます。注入されたペイロードはデータベースに保存され、管理者が投稿されたコメントを確認する際に管理パネルの「コメント」セクションに表示されます。悪意のあるスクリプトは一般公開されるコメント画面には反映されず、管理画面内でのみ表示されます。さらに、Administrator、Moderator、Managerの役割を持つユーザーは、既存のコメントに直接細工されたペイロードを入力することも可能です。これにより、この脆弱性は管理ユーザーを対象とした持続的なXSS問題となっています。この脆弱性はcore/admin/comments.phpに影響を及ぼします。

PluXml

• PluXml 5.8.22 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : vuln-research-public/CVE-2025-70128.pdf at main  forest4x/vuln-research-public  GitHub

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2025-70128

1. National Vulnerability Database (NVD) : CVE-2025-70128
2. 関連文書 : YouTube

• [2026年04月08日]
    掲載