CVE-2025-70368

プロジェクト更新機能における保存型クロスサイトスクリプティング (XSS)

	Worklenz 効率的なチームのためのオールインワン・プロジェクト管理ツール

📜 説明

Worklenz バージョン 2.1.5 には、プロジェクト更新機能に保存型クロスサイトスクリプティング (XSS) の脆弱性が存在します。攻撃者は「Updates」テキストフィールドに悪意のあるペイロードを送信でき、そのペイロードは適切なサニタイズなしにレポートビューでレンダリングされます。被害者がこの脆弱性のあるフィールドを含むページを閲覧すると、悪意のある JavaScript が実行される可能性があります。

🔍 影響を受けるバージョン

🛠️ 再現手順

1️⃣ 「Projects」→「プロジェクト名」→「Updates」に移動します

2️⃣ 次のペイロードを入力します:

3️⃣ 「Reporting」→「Projects」に移動します

4️⃣ 保存されたペイロードがレンダリングされ、アラートが実行されます:

⚠️ 免責事項

このプロジェクトは、教育および倫理的な研究目的のみを意図しています。明示的な許可なくシステムに対して行う無断テストは違法です。責任を持って、所有している、またはテストの許可を得たシステムでのみ使用してください。

🧑‍💻 発見者

この脆弱性は、Alex Perrakis（Stolichnayer）によって発見されました。

🔗 参照:

• Worklenz の GitHub リポジトリ