分析待ちCVE-2026-28263

CVE-2026-28263: XSS in Dell PowerProtect Data Domain

プラットフォーム

linux

コンポーネント

dell-powerprotect-data-domain

修正版

8.6.0.0 or later

NVDで見る

保存

Dell PowerProtect Data DomainのData Domain Operating System (DD OS)において、クロスサイトスクリプティング(XSS)の脆弱性が確認されました。この脆弱性を悪用されると、攻撃者はスクリプトを注入し、機密情報を窃取したり、ユーザーを欺瞞したりする可能性があります。影響を受けるバージョンは、Feature Release 7.7.1.0から8.5、LTS2025 8.3.1.0から8.3.1.20、LTS2024 7.13.1.0から7.13.1.50です。Dellはバージョン8.6.0.0以降で修正を提供しています。

影響と攻撃シナリオ

このXSS脆弱性は、攻撃者が悪意のあるスクリプトをPowerProtect Data DomainのWebインターフェースに注入することを可能にします。成功した場合、攻撃者はユーザーのセッションを乗っ取り、機密データ（ユーザー名、パスワード、ストレージ構成など）にアクセスしたり、システム設定を変更したり、他のシステムへの攻撃の足がかりとして利用したりする可能性があります。特に、管理者の権限を持つユーザーが標的となる可能性が高く、システム全体への影響が及ぶ可能性があります。類似のXSS脆弱性は、Webアプリケーションのセキュリティを脅かす一般的な攻撃手法であり、注意が必要です。

悪用の状況

この脆弱性は2026年4月17日に公開されました。現時点では、この脆弱性を悪用した具体的な攻撃事例は報告されていませんが、XSS脆弱性は一般的に悪用される可能性が高いため、注意が必要です。EPSSスコアは、攻撃の可能性を評価する指標として利用されますが、現時点では評価は保留中です。NVDおよびCISAのデータベースを定期的に確認し、最新の情報を入手するようにしてください。

脅威インテリジェンス

エクスプロイト状況

概念実証不明

CISA KEVNO

インターネット露出高

EPSS

0.01% (1% パーセンタイル)

CVSS ベクトル

これらのメトリクスの意味は？

Attack Vector: ネットワーク — インターネット経由でリモートから悪用可能。物理・ローカルアクセス不要。
Attack Complexity: 低 — 特別な条件不要。安定して悪用可能。
Privileges Required: 高 — 管理者または特権アカウントが必要。
User Interaction: 必要 — 被害者がファイルを開く、リンクをクリックするなどのアクションが必要。
Scope: 変化あり — 攻撃が脆弱なコンポーネントを超えて他のシステムに波及可能。
Confidentiality: 低 — 一部データへの部分的アクセス。
Integrity: 低 — 限定的な範囲でデータ変更可能。
Availability: 低 — 部分的または断続的なサービス拒否。

影響を受けるソフトウェア

コンポーネントdell-powerprotect-data-domain

ベンダーDell

最小バージョン7.7.1.0

最大バージョン8.6.0.0 or later

修正版8.6.0.0 or later

弱点分類 (CWE)

CWE-79

タイムライン

公開日2026-04-17
更新日2026-04-18
EPSS 更新日2026-04-24

緩和策と回避策

Dellは、バージョン8.6.0.0以降へのアップデートを推奨しています。アップデートがすぐに利用できない場合、Webアプリケーションファイアウォール(WAF)またはリバースプロキシを使用して、悪意のあるスクリプトの注入を試みるリクエストをブロックすることを検討してください。また、入力検証を強化し、出力エンコードを適切に行うことで、XSS攻撃のリスクを軽減できます。PowerProtect Data Domainのセキュリティ設定を見直し、不要な機能を無効化することも有効です。アップデート後、システムにログインし、Webインターフェースにアクセスして、スクリプトが正常に実行されないことを確認してください。

修正方法翻訳中…

Actualice su sistema Dell PowerProtect Data Domain a la versión 8.6.0.0 o posterior, o a la versión 8.3.1.20 o posterior para LTS2025, o a la versión 7.13.1.50 o posterior para LTS2024. Consulte la nota de Dell Security Advisory DSA-2026-060 para obtener más detalles e instrucciones de actualización.

よくある質問

CVE-2026-28263 — XSS in Dell PowerProtect Data Domainとは何ですか？

CVE-2026-28263は、Dell PowerProtect Data DomainのData Domain Operating System (DD OS)におけるクロスサイトスクリプティング(XSS)の脆弱性です。攻撃者は悪意のあるスクリプトを注入し、機密情報を窃取する可能性があります。

CVE-2026-28263 in Dell PowerProtect Data Domainの影響はありますか？

はい、バージョン7.7.1.0～8.6.0.0を使用している場合、影響を受ける可能性があります。リモートアクセスを持つ高権限攻撃者によるスクリプトインジェクションの可能性があり、機密情報の漏洩やシステム制御の喪失につながる可能性があります。

CVE-2026-28263 in Dell PowerProtect Data Domainを修正するにはどうすればよいですか？

Dellはバージョン8.6.0.0以降で修正を提供しています。速やかにアップデートすることを推奨します。アップデートがすぐに利用できない場合は、WAFなどの緩和策を検討してください。

CVE-2026-28263は現在積極的に悪用されていますか？

現時点では、この脆弱性を悪用した具体的な攻撃事例は報告されていませんが、XSS脆弱性は一般的に悪用される可能性が高いため、注意が必要です。

CVE-2026-28263に関するDellの公式アドバイザリはどこで入手できますか？

Dellのサポートサイトまたはセキュリティアドバイザリページで、CVE-2026-28263に関する公式アドバイザリを確認してください。Dellのセキュリティ情報については、Dellの公式ウェブサイトを参照してください。

あなたのプロジェクトは影響を受けていますか?

依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。

無料スキャン CVEを検索

scanZone.liveBadgescanZone.eyebrow

今すぐ試す — アカウント不要

Upload any manifest (composer.lock, package-lock.json, WordPress plugin list…) or paste your component list. You get a vulnerability report instantly. Uploading a file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.

手動スキャンSlack/メールアラートContinuous monitoringホワイトラベルレポート

依存関係ファイルをドラッグ＆ドロップ

composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...

ファイルを選択