CVE-2026-14856: TastyIgniter v4.3.0 における保存型XSSからアカウント乗っ取りへ

📌 概要

TastyIgniter v4.3.0 の Media Manager におけるファイルアップロード機能に、保存型クロスサイトスクリプティング（XSS）の脆弱性が確認されました。アップロードされる .svg ファイルの検証およびサニタイズが不十分であるため、認証済みの低権限ユーザーが、埋め込まれたJavaScriptコードを含む悪意のあるファイルをアップロードできます。

管理者がアップロードされたファイルを表示またはプレビューすると、ペイロードが管理者のセッションのコンテキスト内で実行されます。この経路をクロスサイトリクエストフォージェリ（CSRF）と連鎖させることで、攻撃者は管理者のCSRF対策トークンを抽出し、不正な管理操作（例：アカウント認証情報の変更）を引き起こすことができ、完全なアカウント乗っ取りに至ります。

📊 技術概要

プロパティ	値
CVE ID	`CVE-2026-14856`
INCIBE 勧告	`INCIBE-2026-511`
影響を受けるコンポーネント	Media Manager
影響を受けるバージョン	TastyIgniter `v4.3.0`
脆弱性の種類	CWE-79（保存型クロスサイトスクリプティング）
CVSS v4.0 スコア	`6.3`（Medium）
CVSS ベクター	`CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:A/VC:N/VI:N/VA:N/SC:H/SI:H/SA:H`
発見者	Jonas Fernández

⚙️ 攻撃連鎖

アップロード段階: 認証済みの低権限ユーザーが、悪意のあるJavaScriptペイロードを含むSVGファイルをMedia Managerにアップロードします。
実行段階: 管理者がファイルを表示し、ブラウザのセッションコンテキスト内で埋め込まれたJavaScriptが実行されます。
トークン抽出: スクリプトはプログラムによって管理者のアクティブなCSRFトークンを抽出します。
アカウント乗っ取り: スクリプトは、盗んだトークンを使用して認証済みリクエストを発行し、管理認証情報（メールアドレス/パスワード）を更新します。

📁 概念実証（PoC）

完全な技術レポート、ステップバイステップの詳細、および分析は、このリポジトリ内のPDF形式で入手できます。

📄 TastyIgniter-4.3.0-POC.pdf

🛡️ 修復と協調的な情報開示

ベンダーステータス: 製造元による最新リリースで修正済み。最新バージョンへの更新が推奨されます。
調整: INCIBE-CERT の Coordinated Vulnerability Disclosure（CVD）を通じて責任を持って開示されました。
公式勧告: INCIBE-CERT Notice

👤 著者

Jonas Fernández

CVE-2026-14856-TastyIgniter

人気