1Panel-dev MaxKB ChatHeadersMiddleware chat_headers_middleware.py クロスサイトスクリプティング

このXSS脆弱性を悪用されると、攻撃者はユーザーが閲覧するWebページに悪意のあるスクリプトを挿入し、セッションCookieの窃取、ユーザーのなりすまし、悪意のあるWebサイトへのリダイレクトなど、様々な攻撃を実行できます。特に、管理者権限を持つユーザーが攻撃された場合、システム全体への影響が及ぶ可能性があります。この脆弱性は、攻撃者がユーザーのブラウザ上で任意のJavaScriptコードを実行できるため、機密情報の漏洩やシステムの改ざんに繋がる危険性があります。

Organizations using 1Panel-dev MaxKB in versions 2.6.0 through 2.8.0 are at risk. This includes users who rely on 1Panel-dev MaxKB for chat functionality and those who have not implemented robust input validation practices. Shared hosting environments utilizing 1Panel-dev MaxKB are particularly vulnerable due to the potential for cross-tenant exploitation.

• wordpress / composer / npm:

grep -r 'chat_headers_middleware.py' /var/www/1panel-dev-maxkb/

• generic web:

curl -I http://your-1panel-maxkb-domain.com/apps/common/middleware/chat_headers_middleware.py | grep -i 'X-Powered-By'

1. 2026-04-12Disclosure

   disclosure

1. 予約済み2026-04-11
2. 公開日2026-04-12
3. 更新日2026-04-15
4. EPSS 更新日2026-04-19

この脆弱性への最も効果的な対策は、1Panel-dev MaxKBをバージョン2.8.0にアップグレードすることです。アップグレードが困難な場合は、一時的な回避策として、入力値の検証を強化し、HTMLエスケープ処理を徹底することで、XSS攻撃のリスクを軽減できます。また、Webアプリケーションファイアウォール(WAF)を導入し、XSS攻撃のパターンを検知・防御することも有効です。WAFのルール設定や、入力値のサニタイズを適切に行うことで、攻撃の影響を最小限に抑えることができます。