CVE-2026-7004

概要

WIT SynApps Runtime 1.4.11 までには、認証前の反射型クロスサイトスクリプティング脆弱性が存在します。これにより、未認証の攻撃者が細工された LINK クエリパラメータを /System/Session-1 エンドポイントに送信することで、任意の JavaScript を注入・実行できます。攻撃者はこの欠陥を悪用して、認証情報の窃取、ログインフローの操作、ブラウザから見えるデータへのアクセス、およびコントローラのエンドポイントへの同一オリジンリクエストを実行できます。これには、Cloud RIA シナリオにおける内部コントローラに対するオリジンスイッチプリミティブも含まれます。

ソース

• ExploitsPoC

  ペネトレーションテストと研究のための、詳細な脆弱性チェーン、権限昇格、コンテナエスケープ技術を備えたオリジナルCVE、エクスプロイトPoC、およびセキュリティアドバイザリ。