Assembly Variant Nameにおける保存型クロスサイトスクリプティング (XSS) 脆弱性

このXSS脆弱性は、攻撃者がAutodesk Fusionを実行しているユーザーのブラウザ内で悪意のあるスクリプトを実行することを可能にします。攻撃者は、このスクリプトを使用して、ユーザーのローカルファイルにアクセスしたり、機密情報を盗んだり、ユーザーを悪意のあるウェブサイトにリダイレクトしたりすることができます。さらに、攻撃者は現在のプロセス内で任意のコードを実行できるため、システム全体のセキュリティを脅かす可能性があります。この脆弱性は、ユーザーが削除確認ダイアログをクリックするたびに悪用される可能性があるため、広範囲に影響を及ぼす可能性があります。

Users of Autodesk Fusion who are actively working with assembly variants and relying on the delete confirmation dialog are at risk. This includes engineers, designers, and project managers who frequently manage and delete project assets within the application. Shared hosting environments where multiple users access the same Fusion installation may amplify the risk.

• windows / supply-chain:

Get-WinEvent -LogName Application -FilterXPath "/Event[System[Provider[@Name='Microsoft-Windows-PowerShell'] and (EventID=4688)] and EventData[Data[@Name='Command Line'] and contains(., 'Fusion.exe')]]"

• windows / supply-chain:

Get-Process -Name Fusion | Select-Object -ExpandProperty Path

• generic web: Inspect the delete confirmation dialog for unexpected HTML or JavaScript code.

1. 2026-04-14Disclosure

   disclosure

1. 予約済み2026-03-18
2. 公開日2026-04-14
3. 更新日2026-04-15
4. EPSS 更新日2026-04-22

この脆弱性への最も効果的な対策は、Autodesk Fusionをバージョン2702.1.47にアップデートすることです。アップデートが利用できない場合、攻撃者が悪意のあるHTMLペイロードを挿入できないように、アセンブリのバリアント名に対する入力検証を強化することを検討してください。また、WAF（Web Application Firewall）を導入して、XSS攻撃を検出およびブロックすることも有効です。Fusionのログを監視し、不審なアクティビティがないか確認することも重要です。アップデート後、Fusionを再起動し、削除確認ダイアログで悪意のあるHTMLペイロードが正常に処理されることを確認してください。