JVNDB-2026-027438

PostCSSにおける複数の脆弱性

PostCSSはCSSファイルを受け取り、そのルールを抽象構文木（AST）に変換することで解析および変更するためのAPIを提供します。バージョン8.5.11およびそれ以前では、PreviousMapがprocess()に渡された任意のCSS文字列から/*# sourceMappingURL=PATH */コメントを解析し、スキームやホワイトリスト、ディレクトリトラバーサルチェックなしにPATHをローカルファイルシステムで参照してしまいます。攻撃者がCSS入力を制御できる場合、ホストプロセスにNodeが読み取り可能な任意のファイルを読み込ませ、その内容の最初のおよそ10バイトを生成されるJSON.parseのSyntaxErrorメッセージを通じて漏洩させることが可能です。このバグによりファイルの存在確認オラクルと、制御可能な読み取りプリミティブも提供され、大きなファイルをターゲットにしたDoS攻撃と組み合わせることも可能となります。この挙動は、PostCSSのデフォルトオプション（fromなし、mapなし、プラグインなし）でトリガーされるため、信頼されていないCSSをPostCSSで処理するあらゆるパイプライン（CMSテーマ、ユーザーがアップロードしたスタイル、ブラウザー拡張やユーザースタイル処理、サードパーティパッケージのビルドパイプライン、ブログコメントレンダラーなど）で悪用されうる状態でした。本件はバージョン8.5.12で修正されています。

PostCSS

• PostCSS 8.5.12 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Arbitrary file read and information disclosure via attacker-controlled sourceMappingURL in CSS comments  Advisory  postcss/postcss  GitHub

1. 情報漏えい(CWE-200) [その他]
2. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-45623

1. National Vulnerability Database (NVD) : CVE-2026-45623

• [2026年08月10日]
    掲載