Webページ生成時の入力の不適切な無効化 ('Cross-site Scripting') coolercontrol-ui における脆弱性

このXSS脆弱性は、攻撃者がCoolerControl UIのログビューアを通じて任意のJavaScriptコードを実行できることを意味します。攻撃者は、このコードを使用して、ユーザーのセッションを盗み、機密情報を盗み出し、または他の悪意のあるアクションを実行する可能性があります。特に、管理者権限を持つユーザーがログビューアにアクセスした場合、攻撃者はシステム全体を制御する可能性があります。この脆弱性は、他のXSS脆弱性と類似しており、攻撃者はフィッシング攻撃やマルウェアの配布に利用する可能性があります。

Organizations using coolercontrol-ui in production environments, particularly those with publicly accessible log viewers, are at risk. Shared hosting environments where multiple users share the same coolercontrol-ui instance are also particularly vulnerable, as an attacker could potentially inject malicious log entries that affect other users.

• vue / generic web:

curl -s 'http://<coolercontrol-ui-url>/log' | grep -i '<script>' 

• vue / generic web:

curl -s 'http://<coolercontrol-ui-url>/log' | grep -i 'onerror='

• vue / generic web:

curl -s 'http://<coolercontrol-ui-url>/log' | grep -i 'javascript:'

1. 2026-04-08Disclosure

   disclosure

1. 予約済み2026-04-01
2. 公開日2026-04-08
3. EPSS 更新日2026-04-16

この脆弱性への対応策として、まずcoolercontrol-uiをバージョン4.0.0にアップデートすることを推奨します。アップデートが困難な場合は、ログビューアへの入力を厳密に検証し、サニタイズすることで、XSS攻撃のリスクを軽減できます。また、Webアプリケーションファイアウォール（WAF）を導入し、XSS攻撃を検知・防御することも有効です。ログエントリの表示前に、HTMLエンコードなどの処理を適用することで、JavaScriptコードの実行を防ぐことができます。