CVE-2026-30048 - NotChatbot WebChat <= 1.5.0 における格納型クロスサイトスクリプティング（XSS）

概要

@developer.notchatbot/webchat パッケージのバージョン 1.5.0 以前には、格納型クロスサイトスクリプティング（XSS）の脆弱性が存在します。

ユーザーが入力したデータは、AI を利用したチャットの会話履歴に保存・描画される前に適切にサニタイズされません。これにより、攻撃者は任意の JavaScript コードを注入でき、チャット履歴が描画または再読み込みされた際に実行されます。

この問題は単一の Web サイト実装ではなく、再利用可能な WebChat コンポーネント自体に存在するため、脆弱なパッケージバージョンを統合しているアプリケーションは、デプロイ環境に関係なく影響を受ける可能性があります。

影響を受ける製品

• ベンダー: NotChatbot
• パッケージ: @developer.notchatbot/webchat
• 影響を受けるバージョン: 1.5.0 以前

脆弱性の種類

• 格納型クロスサイトスクリプティング（XSS）

影響を受けるコンポーネント

• WebChat メッセージ描画
• 会話履歴の描画

攻撃ベクトル

攻撃者は、悪意のある HTML/JavaScript ペイロードを含む細工されたチャットメッセージを送信できます。
ペイロードは保存され、会話履歴が再度描画された際に実行されます。

概念実証（PoC）

ペイロード

</img>

動画デモ

https://youtu.be/HklaoNKP9H8

再現手順

1. 公式パッケージ/CDN を使用して WebChat ウィジェットを統合する
2. チャットインターフェースを開く
3. 上記のペイロードをチャットメッセージとして送信する
4. 会話を再読み込みまたは再度開く
5. ブラウザで JavaScript の実行を確認する

影響

• 被害者のブラウザでの任意の JavaScript 実行
• セッションハイジャック
• 情報漏えい
• 状況によってはアカウント乗っ取りの可能性

根本原因

チャット履歴の描画ロジックにおいて、ユーザー入力が適切な出力エンコーディングや HTML サニタイズなしで描画されます。

推奨される修正

• 描画前にユーザー入力をサニタイズおよびエスケープする
• DOMPurify などの安全なサニタイザーを使用する
• デフォルトで出力をエンコードする
• 制限的なコンテンツセキュリティポリシー（CSP）を実装する

CVE

CVE-2026-30048

参考情報

• https://www.npmjs.com/package/@developer.notchatbot/webchat
• https://app.unpkg.com/@developer.notchatbot/[email protected]
• https://app.unpkg.com/@developer.notchatbot/[email protected]
• https://gist.github.com/0xN4no/0601f398942a29259d217ea650f694fe

発見者

• Nano (@0xNano)
• https://0xnano.com/

タイムライン

• 発見: 2026-01
• CVE 採番: 2026-03