MDwiki Location ハッシュパラメータを介したクロスサイトスクリプティング

CVE-2017-20239はMDwikiに影響を与え、ユーザーをクロスサイトスクリプティング（XSS）の脆弱性にさらします。これにより、リモートの攻撃者が被害者のブラウザ内で悪意のあるJavaScriptコードを実行できるようになります。問題は、MDwikiが「location hash」パラメータをどのように処理することにあります。攻撃者は、URLのハッシュフラグメント（#）内にJavaScriptコードを埋め込んだ、特別に設計されたURLを作成できます。MDwikiは、適切な検証またはサニタイズを行わずに、このコードを解釈および実行し、ユーザーのセキュリティを損なう可能性があります。これにより、Cookieの窃盗、悪意のあるWebサイトへのリダイレクト、またはWebページのコンテンツの変更につながる可能性があり、データの整合性と機密性を損なう可能性があります。既知の修正（fix）がないことは状況を悪化させ、慎重な評価と予防措置が必要です。

Organizations using MDwiki for internal documentation, knowledge bases, or other web-based content are at risk. Specifically, environments where MDwiki is accessible from external networks or where user input is not properly sanitized are particularly vulnerable. Shared hosting environments where multiple users share the same MDwiki instance also increase the risk of exploitation.

• javascript / generic web:

// Check for unusual JavaScript code in the URL hash
const hash = window.location.hash;
if (hash.includes("<script>alert(\");")) {
  console.warn("Potential XSS vulnerability detected in URL hash");
}

• generic web:

# Check access logs for URLs containing suspicious JavaScript in the hash
grep -i 'location.hash=[^#]*<script>' access.log

1. 予約済み2026-04-12
2. 公開日2026-04-12
3. 更新日2026-04-13
4. EPSS 更新日2026-04-20

CVE-2017-20239に対する公式な修正（fix）がMDwikiにないため、軽減策は予防的およびリスク軽減策に焦点を当てています。解決策が実装されるまでMDwikiの使用を避けることが強く推奨されます。使用が不可欠な場合は、厳格なWebセキュリティポリシーを実装し、URLに関連するすべてのユーザー入力を検証およびサニタイズします。不審なリンクまたは異常なハッシュフラグメントを持つURLをクリックするリスクについてユーザーを教育します。Content Security Policy（CSP）を実装することで、実行できるJavaScriptソースを制限し、XSS攻撃の影響を軽減できます。不審なパターンを監視してネットワークトラフィックを監視することで、潜在的な攻撃を検出および対応するのに役立ちます。