CVE-2026-51565 に関するセキュリティアドバイザリ
Modules/Docs/DocsController.php における Milk admin <=0.9.8 のクロスサイトスクリプティング（XSS）脆弱性により、リモートの攻撃者が巧妙に細工されたリクエストの action パラメータを介して、任意の Web スクリプトまたは HTML を注入できる可能性があります。
公開時点では、この脆弱性に対する公式パッチは開発者から提供されておらず、私が報告してから5か月が経過しています。更新版がリリースされるまでは、ModSecurity などの Web Application Firewall（WAF）を適切な xss 保護ルールを設定して導入し、脆弱な action パラメータを標的とした悪意のあるリクエストをブロックすることを推奨します。管理者はまた、可能な場合には影響を受ける機能へのアクセスを制限し、不審なリクエストがないかアプリケーションログを監視することも検討すべきです。これらの対策は一時的な緩和策として意図されており、公式のセキュリティ更新の代わりと見なされるべきではありません。パッチ適用済みバージョンが利用可能になり次第、管理者はできるだけ早くアップグレードする必要があります。
