JVNDB-2026-017828

Stefan ProdanのPodinfoにおけるクロスサイトスクリプティングの脆弱性

podinfo 6.11.2までのバージョンには、/echoおよび/api/echoエンドポイントに反射型クロスサイトスクリプティングの脆弱性があります。この脆弱性は、echoHandlerがリクエストボディの内容を明示的なContent-TypeまたはX-Content-Type-Optionsヘッダーを設定せずにレスポンスに直接書き込むことが原因です。攻撃者は、リクエストボディにスクリプトペイロードを含む自動送信フォームを持つクロスオリジンのHTMLページを巧みに作成できます。Goのコンテンツタイプ検出によりtext/htmlとして提供されるため、その結果、被害者が攻撃者のページを訪問すると反射されたスクリプトがpodinfoのオリジンコンテキスト内で実行される可能性があります。

Stefan Prodan

• Podinfo 6.11.12 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Security-Advisories/CVE-2026-43644/cve-2026-43644.md at main  Niccolo10/Security-Advisories  GitHub

VulnCheck

• VulnCheck : podinfo 6.11.2 Reflected XSS via /echo Endpoint  | Advisories | VulnCheck

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-43644

1. National Vulnerability Database (NVD) : CVE-2026-43644
2. 関連文書 : Security issue  Issue #474  stefanprodan/podinfo

• [2026年06月04日]
    掲載