CVE-2026-29519-Lucee-Reflected-XSS

Lucee CFML における反射型 XSS の概念実証 (CVE-2026-29519)

フレームワーク 0-day: Lucee CFML の URL 解析における反射型 XSS がエンタープライズ環境に影響 (バージョン 5.3.1.95 〜 7.x)

• 発見者: Fouad Milat (lavado)
• 発見日: 2025年12月6日
• CVE: CVE-2026-29519
• ベンダー: Lucee Association
• 製品: Lucee CFML Server
• 影響を受けるバージョン: 5.3.1.95 から 7.0.0.395 および 7.x (最新) までの 22 バージョン

説明

Lucee CFML の URL パス解析メカニズムに、重大な 0-day 反射型クロスサイトスクリプティング (XSS) 脆弱性が発見されました。この脆弱性により、攻撃者は管理インターフェースを含む Lucee アプリケーションのコンテキストで任意の HTML/JavaScript を注入・実行できます。この脆弱性は、5.3.1.95 から最新の 7.x リリースまでの 22 種類の Lucee バージョンに影響します。

影響を受けるバージョン

5.3.1.95 から 7.0.1.100 までの 22 バージョン(すべての 7.x スナップショットを含む)。

概念実証

# 1. Start a vulnerable Lucee instance (example: 6.2.0.321 or Latest 7.x)
docker run -d -p 8888:8888 --name lucee-test lucee/lucee:6.2.0.321

# 2. Wait 35-40 seconds for initialization
sleep 40

# 3. Test the vulnerability by visiting:
http://[lucee-host]/test//index.cfm/

# 4. Observe JavaScript execution (alert dialog appears).

# 5. Clean up
docker stop lucee-test 2>/dev/null; docker rm lucee-test 2>/dev/null

パッチ

Lucee は本レポートに応答しなかったため、公式パッチはリリースされていません。ただし、以下のバージョンは脆弱ではありません:

セキュアなバージョン(脆弱ではない)

企業は XSS を回避するために、これらのバージョンへアップグレード/ダウングレードできます:

6.0.x ブランチ (セキュア)

• 6.0.4.10 (最新のセキュアな 6.0.x)
• 6.0.3.1
• 6.0.2.45
• 6.0.1.83
• 6.0.0.585-SNAPSHOT-light-nginx

5.4.x ブランチ (セキュア)

• 5.4.8.2 (最新のセキュアな 5.4.x)
• 5.4.7.3
• 5.4.7.2
• 5.4.6.9
• 5.4.5.23
• 5.4.4.38
• 5.4.3.16
• 5.4.3.15
• 5.4.3.2
• 5.4.2.17
• 5.4.1.8
• 5.4.0.80

5.3.x ブランチ (一部セキュア)

• 5.3.12.1
• 5.3.11.5
• 5.3.10.120
• 5.3.10.97
• 5.3.9.173
• 5.3.9.166
• 5.3.9.160
• 5.3.9.141
• 5.3.9.133
• 5.3.8.237
• 5.3.8.206
• 5.3.8.205-SNAPSHOT
• 5.3.8.201
• 5.3.8.189

テスト方法

環境

• テスト時間: 18 時間以上の手動テスト

• テスト済みバージョン: 50 以上の Lucee リリース (4.5.1.024 〜 7.0.0.395)

• プラットフォーム: Ubuntu Linux 上の Docker コンテナ

• ツール: curl、手動ブラウザテスト、Burp Suite

企業向け推奨事項

1- 最新のセキュアバージョンへアップグレード:

• 6.x の場合: 6.0.4.10 (または 6.0.1.83 以降の任意の 6.0.x) へアップグレード。
• 5.x の場合: 5.4.8.2 (または任意のセキュアな 5.4.x) へアップグレード。

2- アップグレードが不可能な場合、URL パス内の HTML タグをブロックする一時的な WAF ルールを適用してください。例 (nginx): location ~* "<.*>" { return 403; }

3- Lucee の公式チャンネルを監視して、今後のセキュリティパッチに備えてください。ベンダーが応答しないため、企業は修正のために Lucee に直接連絡することも検討すべきです。

図

CVSS 3.1 評価

CVSS スコア: 7.4 (AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:N)

開示タイムライン

• 2025-12-06: 初回レポートを [email protected] と非公開の GitHub Security Advisory (GHSA-6x3c-35h8-3h9f) に送信。応答なし。
• 2026-03-10: 協調的開示のため VulnCheck にレポートを提出。
• 2026-03-10: CVE-2026-29519 が暫定的に割り当てられる。
• 2026-03-30: VulnCheck が Lucee への連絡後も返信がないことを確認。
• 2026-05-01: 最新の安定版とスナップショットを再テスト — 脆弱性は依然として存在。
• 2026-07-08: ベンダーが 7 か月間沈黙した後の公開開示。

影響

• 認証前 XSS
• 認証情報フィッシング

修復

• パッチ適用済みバージョンへダウングレードする。
• URL パスから HTML タグをサニタイズする。
• 処理前に URL パスを検証する。

参考文献

1. Lucee ドキュメント
2. OWASP XSS 防止
3. CWE-79
4. CVSS 計算ツール

Fouad Milat @lavado