openstatusHQ openstatus Onboarding Endpoint client.tsx におけるクロスサイトスクリプティング

openstatusHQ openstatus のバージョン 1b678e71a85961ae319cbb214a8eae634059330c までの Cross-Site Scripting (XSS) の脆弱性が検出されました。この脆弱性は、ファイル apps/dashboard/src/app/(dashboard)/onboarding/client.tsx 内の不明な関数、特に Onboarding Endpoint コンポーネントに影響を与えます。攻撃者は、callbackURL 引数を操作することでこの脆弱性を悪用し、ユーザーのブラウザで悪意のあるスクリプトの実行を可能にする可能性があります。openstatus は継続的なリリースモデルで動作するため、特定の脆弱性のあるバージョンは利用できません。この脆弱性の重大度は CVSS 4.3 と評価されており、中程度のリスクを示しています。攻撃はリモートで実行できるため、露出のリスクが高まります。

Organizations utilizing openstatusHQ openstatus in their operational environments are at risk, particularly those relying on the application for critical workflows or data management. Teams using older, unpatched deployments are especially vulnerable. Shared hosting environments where multiple users share the same openstatus instance could also be affected, as an attacker could potentially compromise other users' accounts.

• javascript / web:

// Check for unusual callbackURL parameters in network requests
// Look for URLs containing suspicious JavaScript code

• generic web:

curl -I <openstatus_url>/apps/dashboard/src/app/(dashboard)/onboarding/client.tsx | grep callbackURL

• generic web:

# Check access logs for requests with unusual callbackURL parameters
grep 'callbackURL=' /var/log/apache2/access.log

1. 2026-04-08Disclosure

   disclosure

1. 予約済み2026-04-08
2. 公開日2026-04-08
3. 更新日2026-04-09
4. EPSS 更新日2026-04-16

この脆弱性に対する主な軽減策は、openstatusHQ openstatus の最新バージョンにアップデートすることです。継続的なリリースモデルのため、アップデートは継続的に実装されます。最新バージョンを使用していることを確認するために、バージョンノートとシステムアップデートを定期的に確認してください。さらに、入力検証とサニタイズなどの厳格な Web セキュリティポリシーを実装して、XSS 攻撃のリスクを軽減します。サーバーログを監視し、追加の保護レイヤーとして Web Application Firewall (WAF) の実装を検討してください。この脆弱性を効果的に対処するには、タイムリーなアップデートが不可欠です。