プラットフォーム
nodejs
コンポーネント
hedgedoc
修正版
1.10.5
HedgeDocは、リアルタイムで共同編集可能なMarkdownノートアプリケーションです。CVE-2025-66629は、Google、GitHub、GitLab、Facebook、DropboxなどのソーシャルログインプロバイダーのOAuth2エンドポイントに存在するCSRF（クロスサイトリクエストフォージェリ）脆弱性です。バージョン1.10.4以前のHedgeDocでは、これらのエンドポイントがstateパラメータを送信せず、応答を検証しないため、攻撃者は認証済みのユーザーになりすまして不正な操作を実行する可能性があります。この脆弱性はバージョン1.10.4で修正されています。
このCSRF脆弱性を悪用されると、攻撃者は認証済みのユーザーとしてHedgeDocにリクエストを送信できます。これにより、ユーザーのノートへの不正なアクセス、編集、削除、さらには設定の変更といった操作が可能になります。攻撃者は、悪意のあるウェブサイトやメールにリンクを埋め込むことで、ユーザーがHedgeDocにログインしている間に脆弱性を引き起こす可能性があります。特に、ソーシャルログインを利用しているユーザーは、この脆弱性の影響を受けやすくなります。攻撃者は、ユーザーの認証情報を盗むことなく、ユーザーのHedgeDocアカウントを制御できる可能性があります。
この脆弱性は、2025年12月5日に公開されました。現時点では、この脆弱性を悪用する公開されているPoC（Proof of Concept）は確認されていませんが、CSRF脆弱性は比較的悪用が容易であるため、将来的に悪用される可能性はあります。CISAのKEV（Known Exploited Vulnerabilities）カタログへの登録状況は不明です。NVD（National Vulnerability Database）の情報も参照してください。
Organizations and individuals using HedgeDoc versions prior to 1.10.4, particularly those relying on social login providers for authentication, are at risk. Shared hosting environments where multiple users share the same HedgeDoc instance are also potentially more vulnerable, as a compromised user could impact other users on the same server.
• nodejs / server:
grep -r 'OAuth2' /path/to/hedgedoc/source• generic web:
curl -I https://your-hedgedoc-instance/oauth2/google/callback # Check for missing state parameterdisclosure
エクスプロイト状況
EPSS
0.02% (5% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への対応策として、HedgeDocをバージョン1.10.4以降にアップデートすることを強く推奨します。アップデートが困難な場合は、ソーシャルログイン機能を一時的に無効にするか、WAF（Web Application Firewall）を使用してCSRF攻撃をブロックすることを検討してください。WAFのルールは、POSTリクエストのRefererヘッダーを検証し、HedgeDocのドメインと一致しないリクエストをブロックするように設定できます。また、OAuth2エンドポイントへのリクエストにstateパラメータを追加し、応答を検証するカスタムのセキュリティ対策を実装することも有効です。
HedgeDocをバージョン1.10.4以降にアップデートしてください。このバージョンでは、'state'パラメータの検証を実装することで、OAuth2フローにおけるCSRF脆弱性を修正しています。アップデートはパッケージマネージャーを使用するか、HedgeDocが提供するアップデート手順に従って実行できます。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2025-66629は、HedgeDocのOAuth2ソーシャルログインエンドポイントにおけるCSRF脆弱性です。攻撃者は認証済みのユーザーになりすまして不正な操作を実行する可能性があります。
HedgeDocのバージョン1.10.4以前を使用している場合は影響があります。攻撃者は、ユーザーのノートへの不正なアクセス、編集、削除といった操作を実行する可能性があります。
HedgeDocをバージョン1.10.4以降にアップデートしてください。アップデートが困難な場合は、ソーシャルログイン機能を一時的に無効にするか、WAFを使用してCSRF攻撃をブロックすることを検討してください。
現時点では、この脆弱性を悪用する公開されているPoCは確認されていませんが、将来的に悪用される可能性はあります。
HedgeDocの公式アドバイザリは、HedgeDocのウェブサイトまたはGitHubリポジトリで確認できます。