Tarkov Data Manager には認証されていない Reflected XSS が存在する

このXSS脆弱性を悪用されると、攻撃者は被害者のブラウザ内で任意のJavaScriptコードを実行できます。これにより、機密情報の窃取（ログイン認証情報、個人情報など）、セッションの乗っ取り、悪意のあるWebサイトへのリダイレクト、さらにはマルウェアのダウンロードと実行といった攻撃が可能になります。Tarkov Data Managerの利用者は、この脆弱性によって、アカウントの乗っ取りや、個人情報の漏洩、さらにはシステムへの不正アクセスといった深刻な被害を受ける可能性があります。攻撃者は、Tarkov Data Managerの機能を利用して、被害者を悪意のあるURLに誘導し、JavaScriptコードを実行させる可能性があります。

Users of Tarkov Data Manager, particularly those running versions prior to 2.0.1, are at risk. This includes individuals who rely on the tool for managing their Tarkov item data and are susceptible to attacks through malicious URLs.

• windows / supply-chain: Monitor for suspicious PowerShell commands related to Tarkov Data Manager. Check Autoruns for unusual entries.

Get-Process -Name TarkovDataManager | Select-Object -ExpandProperty Path

• generic web: Examine access and error logs for requests containing suspicious URL parameters that might be attempting to inject JavaScript code.

grep -i 'script' /var/log/apache2/access.log

1. 2025-01-02Patch

   patch

2. 2026-01-07Disclosure

   disclosure

1. 予約済み2026-01-05
2. 公開日2026-01-07
3. EPSS 更新日2026-03-23

この脆弱性への対応策として、Tarkov Data Managerをバージョン2.0.1以降にアップデートすることを強く推奨します。アップデートが困難な場合は、一時的な回避策として、信頼できないソースからのURLクリックを避け、ブラウザのセキュリティ設定を強化することを検討してください。また、Webアプリケーションファイアウォール(WAF)を導入し、XSS攻撃を検知・防御することも有効です。アップデート後、Tarkov Data Managerの動作を確認し、XSS攻撃の兆候がないことを確認してください。