CVE-2025-70849: Podinfoにおける保存型XSS

概要

KubernetesマイクロサービスをデモするWebアプリケーションであるPodinfoにおいて、セキュリティ脆弱性(CWE-79)が特定されました。/store機能は、認証されていないユーザーが任意のHTML/JSコンテンツをアップロードすることを可能にし、保存型XSSにつながります。

脆弱性の詳細

CVE ID: CVE-2025-70849
製品: Podinfo
影響を受けるエンドポイント: /store
脆弱性の種類: 保存型クロスサイトスクリプティング(XSS)
影響を受けるバージョン: <= 6.10.0

概念実証 (PoC)

悪意のあるペイロードを送信する:

curl -X POST https://<target>/store -H "Content-Type: application/text" -d '<html><script>alert("CVE-2025-70849")</script></html>'

返されたハッシュにアクセスする: https:///store/

タイムライン

発見: 2025年9月
ベンダー通知: 2025年10月25日
ベンダーの対応: 確認済み。修正時期の見通しは未定と回答。
公開開示: 2026年2月

免責事項この調査は教育目的のみで行われています。

研究者 :

Kazi Sabbir | Shafayet Ahmed Alif

CVE-2025-70849-Podinfo

人気

CVE-2025-70849-Podinfo

人気

CVE-2025-70849: Podinfoにおける保存型XSS

概要

脆弱性の詳細

概念実証 (PoC)

タイムライン

免責事項 この調査は教育目的のみで行われています。

研究者 :

深刻度: 中 6.4

免責事項この調査は教育目的のみで行われています。