JVNDB-2026-028883

ludのOaskitにおけるクロスサイトスクリプティングの脆弱性

lud oaskitにおけるウェブページ生成時の入力の不適切な無害化（XSS）脆弱性は、デフォルトのHTMLエラーハンドラーを介してリフレクト型クロスサイトスクリプティングを引き起こします。lib/oaskit/error_handler/default.ex内のOaskit.ErrorHandler.Default.format_reason/4およびOaskit.ErrorHandler.Default.reason_to_html/1は、リクエストのAcceptヘッダーにhtmlが含まれている場合、リクエスト検証失敗をHTMLページとしてレンダリングします。この際、リクエストから制御される文字列をHTMLエスケープせずにページ内に挿入します。未エスケープの値はリクエストボディから取得されたオブジェクトのキーや、オブジェクトやdeepObject形式のクエリパラメータに由来し、JSONスキーマのエラーのインスタンスパスに表示されます（例えばadditionalProperties: falseの下など）。さらに、生のContent-Typeヘッダーも解析失敗時のunsupported-media-typeエラーで反映されます。ブラウザが通常のトップレベルナビゲーションでAccept: text/htmlを送信するため、細工されたGETリンクだけでエラーページをトリガーできます。フォームの送信やカスタムContent-Type、被害者側での攻撃者制御スクリプトは不要です。例えば、payloadのfilter[＜/code＞＜/h2＞＜script＞alert(document.domain)＜/script＞]=xは囲みのマークアップを終了させ、注入されたスクリプトがoaskitを利用するアプリケーションのオリジン上で実行されます。これにより、そのオリジンのクッキーやセッション、同一オリジンのレスポンスにアクセス可能になります。HTMLエラーのレンダリングと脆弱なハンドラーは両方ともデフォルトで有効化されています。Oaskit.Plugs.ValidateRequestは、:html_errorsをtrue、:error_handlerをOaskit.ErrorHandler.Defaultにデフォルト設定しているため、ドキュメントに記載された使用方法に従うアプリケーションはオプトインなしで影響を受けます。この問題は、oaskitのバージョン0.1.0から0.14.1未満までに影響を及ぼします。

lud

• Oaskit 0.1.0 以上 0.14.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Erlang Ecosystem Foundation

• Erlang Ecosystem Foundation : CVE-2026-66296

GitHub

• GitHub : Reflected XSS in oaskit's default HTML error handler  Advisory  lud/oaskit  GitHub

Open Source Vulnerabilities

• Open Source Vulnerabilities : EEF-CVE-2026-66296 - OSV

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-66296

1. National Vulnerability Database (NVD) : CVE-2026-66296
2. 関連文書 : security: Prevent XSS in default HTML error handler  lud/oaskit@b70c6b2  GitHub

• [2026年08月19日]
    掲載