プラットフォーム
other
コンポーネント
posthog
修正版
8817.0.1
CVE-2025-1522は、PostHogにおける情報漏洩脆弱性です。この脆弱性を悪用されると、リモート攻撃者がPostHogのインストール環境から機密情報を開示する可能性があります。影響を受けるバージョンはb8817c14065c23159dcf52849f0bdcd12516c43e–b8817c14065c23159dcf52849f0bdcd12516c43eです。修正バージョンは3732c0fd9551ed29521b58611bf1e44d918c1032にアップデートすることで対応可能です。
この脆弱性は、PostHogのデータベーススキーマ機能に関連しており、攻撃者がURIの検証を回避することで、サービスアカウントのコンテキストで機密情報を開示する可能性があります。攻撃者は、PostHogの内部データ構造や設定情報にアクセスし、それを利用してさらなる攻撃を仕掛ける可能性があります。この情報漏洩は、PostHogの機密性、完全性、可用性に深刻な影響を与える可能性があります。ZDI-CAN-25358として報告されたこの脆弱性は、類似のサーバーサイドリクエストフォージング（SSRF）脆弱性を悪用する攻撃パターンに類似しています。
この脆弱性は、2025年4月23日に公開されました。現時点では、この脆弱性を悪用した具体的な攻撃事例は報告されていませんが、公開されているため、悪用される可能性はあります。CISA KEVカタログへの登録状況は不明です。公開されているPoCは確認されていません。
Organizations utilizing PostHog, particularly those with sensitive data stored within the platform, are at risk. Deployments with overly permissive service account configurations or those relying on legacy authentication methods are especially vulnerable. Shared hosting environments where PostHog instances may share resources with other applications should also be considered at higher risk.
disclosure
エクスプロイト状況
EPSS
0.26% (49% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への主な対策は、PostHogを修正バージョン3732c0fd9551ed29521b58611bf1e44d918c1032にアップデートすることです。アップデートできない場合は、URI検証の強化を検討してください。Web Application Firewall (WAF) を導入し、不審なURIリクエストをブロックすることも有効です。PostHogのアクセスログを監視し、異常なアクセスパターンを検出することも重要です。アップデート後、PostHogのデータベーススキーマ機能が正常に動作することを確認してください。
PostHogを、このSSRF脆弱性の修正を含むバージョンにアップデートしてください。バージョン3732c0fd9551ed29521b58611bf1e44d918c1032以降にアップデートすることで、この問題が解決されます。詳細なアップデート手順については、リリースノートを参照してください。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2025-1522は、PostHogにおける情報漏洩脆弱性であり、リモート攻撃者が機密情報を開示する可能性があります。
PostHogのバージョンb8817c14065c23159dcf52849f0bdcd12516c43e–b8817c14065c23159dcf52849f0bdcd12516c43eを使用している場合は影響を受ける可能性があります。
PostHogを修正バージョン3732c0fd9551ed29521b58611bf1e44d918c1032にアップデートしてください。
現時点では、CVE-2025-1522を悪用した具体的な攻撃事例は報告されていません。
PostHogの公式アドバイザリは、PostHogのセキュリティ情報ページで確認できます。