プラットフォーム
php
コンポーネント
xenforo
修正版
2.3.9
2.2.18
CVE-2026-35055は、XenForoのlightbox機能におけるクロスサイトスクリプティング(XSS)の脆弱性です。この脆弱性を悪用すると、攻撃者はlightboxで表示される投稿コンテンツを通じて、ユーザーのブラウザ上で任意のスクリプトを実行させることが可能です。影響を受けるのはXenForo 2.3.0から2.3.9までのバージョンです。この問題はバージョン2.3.9で修正されました。
XenForoのバージョン2.3.9以前および2.2.18以前に存在するCVE-2026-35055は、クロスサイトスクリプティング（XSS）の脆弱性です。この脆弱性は、フォーラムの投稿内でLightbox機能を使用する際に発生します。攻撃者は、投稿のコンテンツ内に悪意のあるJavaScriptコードを注入できます。ユーザーがその投稿をLightboxで開くなど、コンテンツとインタラクションすると、スクリプトはユーザーのブラウザコンテキストで実行されます。これにより、攻撃者はCookieを盗んだり、ユーザーを悪意のあるWebサイトにリダイレクトしたり、ページコンテンツを改ざんしたりするなど、フォーラムのセキュリティと整合性を損なう可能性があります。この問題の重大度は、脆弱なコンテンツとインタラクションするすべてのユーザーに影響を与える可能性があること、特に管理者権限を持つユーザーに影響を与える可能性があることにあります。
この脆弱性の悪用には、攻撃者がフォーラムの投稿に悪意のあるコンテンツを注入できる必要があります。これは、ユーザーが適切な検証なしにコンテンツを投稿できるフォーラムを介して実現できる可能性があります。または、コードインジェクションを可能にする他の脆弱性を悪用することによって実現できる可能性があります。コードが注入されると、スクリプトの実行は、ユーザーが投稿をLightboxで開いたときにトリガーされます。攻撃者は、ソーシャルエンジニアリングの手法を使用して、ユーザーが悪意のあるコンテンツとインタラクションするように誘導する可能性があります。攻撃の有効性は、ユーザーのブラウザ構成とインストールされている拡張機能に依存しますが、一般的にフォーラムとそのユーザーのセキュリティにとって重大なリスクとなります。
Organizations and individuals using XenForo versions 2.3.0 through 2.3.9 and versions prior to 2.2.18 are at risk. This includes forums used for internal communication, customer support, or public discussions. Shared hosting environments running XenForo are particularly vulnerable, as they may be more difficult to patch quickly.
• php / web:
curl -I https://example.com/lightbox.php?content=<script>alert(1)</script> | grep -i content-type• php / web: Check XenForo version by inspecting the HTTP headers or HTML source code for version identifiers. • php / web: Review XenForo access and error logs for suspicious activity related to lightbox usage or unusual script injections. • php / web: Monitor for unusual JavaScript execution patterns within the forum environment using browser developer tools.
disclosure
エクスプロイト状況
EPSS
0.03% (9% パーセンタイル)
CISA SSVC
CVSS ベクトル
CVE-2026-35055を軽減するための解決策は、XenForoをバージョン2.3.9以降、またはバージョン2.2.18以降にアップデートすることです。このアップデートには、Lightbox処理におけるXSS脆弱性を修正するセキュリティパッチが含まれています。脆弱性の悪用リスクを最小限に抑えるために、できるだけ早くアップデートを実行することをお勧めします。さらに、ユーザー入力の検証やContent Security Policy（CSP）の導入など、フォーラムのセキュリティポリシーを確認して攻撃対象領域を縮小してください。アップデートの適用中に問題が発生した場合にシステムを復元できるように、アップデートの前に必ずフォーラムのバックアップを作成することが重要です。フォーラムのログを監視して不審なアクティビティを検出することも、潜在的な攻撃に対応するのに役立ちます。
Actualice XenForo a la versión 2.3.9 o 2.2.18 o superior. Esto solucionará la vulnerabilidad de Cross-Site Scripting (XSS) relacionada con el uso de lightbox en las publicaciones. La actualización se puede realizar a través del panel de administración de XenForo.
脆弱性分析と重要アラートをメールでお届けします。
XSS（クロスサイトスクリプティング）は、攻撃者が他のユーザーが閲覧するWebページに悪意のあるスクリプトを注入できるセキュリティ脆弱性の種類です。
ユーザーは悪意のあるWebサイトにリダイレクトされたり、Cookieが盗まれたり、ページコンテンツが改ざんされたりする可能性があります。
CSPなどの追加のセキュリティ対策を実装し、フォーラムログを監視してください。
この脆弱性を特定するのに役立つ脆弱性スキャナがありますが、アップデートが最も効果的な解決策です。
バックアップは、フォーラムのファイルとデータベースのコピーです。アップデート中に問題が発生した場合にシステムを復元できるようにするために重要です。