JVNDB-2026-027419

FOG ProjectのFOGProjectにおけるクロスサイトスクリプティングの脆弱性

FOGは、無料のオープンソースのクローニング／イメージング／レスキュー用スイートおよびインベントリ管理システムです。バージョン1.5.10.1832および1.6.0-beta.2313以前では、`fogpage.class.php`の`buildRow()`メソッドが、`str_replace()`を使用してHTMLテーブルのセルテンプレートにデータ値を置換していますが、HTMLエスケープを行っていませんでした。認証されていない攻撃者が登録済みホストのMACアドレスを知っている場合、悪意のあるインベントリ値（例：`sysproduct`、`sysserial`）を`/service/inventory.php`にPOSTすることが可能であり、それがデータベースに保存されてしまいます。管理者がグループインベントリタブを開くと、そのペイロードが管理者のブラウザ上で実行可能なHTML/JavaScriptとしてレンダリングされてしまいます。バージョン1.5.10.1832および1.6.0-beta.2313でこの問題は修正されています。

FOG Project

• FOGProject 1.5.10.1832 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : 062 Stored XSS via unescaped inventory data in buildRow() rendered on Group Inventory tab  Advisory  FOGProject/fogproject  GitHub

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-47689

1. National Vulnerability Database (NVD) : CVE-2026-47689

• [2026年08月10日]
    掲載