wandb OpenUI Window Message Event index.html クロスサイトスクリプティング (Cross Site Scripting)

CVE-2026-4995 は、wandb OpenUI のバージョン 1.0 までのインスタンスに影響を与え、frontend/public/annotator/index.html 内の 'Window Message Event Handler' コンポーネントにおけるクロスサイトスクリプティング (XSS) の脆弱性を明らかにするものです。この脆弱性を悪用すると、攻撃者はアプリケーションに悪意のあるスクリプトを注入でき、他のユーザーのブラウザで実行されます。攻撃はリモートで実行できるため、機密情報を盗んだり、アプリケーションの動作を変更したり、ユーザーアカウントを乗っ取ったりするリスクがあります。ベンダーからの対応がないことは状況を悪化させ、ユーザーは即時の公式な修正を得られなくなります。エクスプロイトの公開により、悪意のある攻撃者がそれを実装しやすくなり、攻撃のリスクが高まります。

Organizations utilizing wandb OpenUI version 1.0, particularly those with sensitive data displayed within the interface, are at risk. Teams relying on wandb for data visualization and collaboration should prioritize patching or implementing mitigation strategies. Shared hosting environments where multiple users share the same wandb OpenUI instance are also at increased risk.

• python / wandb: Inspect the frontend/public/annotator/index.html file for suspicious JavaScript code or injection points.

import os
import re

file_path = 'frontend/public/annotator/index.html'

with open(file_path, 'r') as f:
    content = f.read()

# Look for patterns indicative of XSS (e.g., <script> tags, eval(), etc.)
if re.search(r'<script.*?>.*?</script>', content, re.IGNORECASE):
    print(f"Potential XSS vulnerability detected in {file_path}")

1. 2026-03-28Disclosure

   disclosure

1. 予約済み2026-03-27
2. 公開日2026-03-28
3. 更新日2026-04-01
4. EPSS 更新日2026-04-04

ベンダーからの修正がないため、迅速な軽減策が不可欠です。OpenUI の最新バージョンにできるだけ早くアップグレードすることを強くお勧めします。その間、信頼できないソースからのスクリプトの実行を制限するために、厳格なコンテンツセキュリティポリシー (CSP) を適用するなど、追加のセキュリティ対策を実装できます。ネットワークトラフィックを注意深く監視し、XSS のリスクと潜在的な攻撃を特定する方法についてユーザーを教育することも重要です。すべてのユーザー入力の厳格な検証とサニタイズは、悪意のあるコードの注入を防ぐために不可欠です。Web アプリケーションファイアウォール (WAF) の使用を検討すると、追加の保護レイヤーを提供できます。