DbGate には SVG アイコン文字列ハンドラコンポーネントを介したクロスサイトスクリプティングの脆弱性が存在します

このXSS脆弱性は、攻撃者がdbgate-webのユーザーセッションを乗っ取ったり、悪意のあるコンテンツを表示したり、ユーザーを偽のウェブサイトにリダイレクトしたりする可能性があります。攻撃者は、機密情報を盗み出したり、ユーザーの行動を監視したり、システムにさらなる損害を与えたりする可能性があります。特に、dbgate-webを公共のインターネットに公開している環境では、攻撃のリスクが高まります。この脆弱性は、類似のXSS攻撃と同様に、ユーザーの入力検証が不十分な場合に発生します。

Organizations and individuals using DbGate for database management, particularly those relying on older versions (prior to 7.1.5), are at risk. Shared hosting environments where multiple users share the same DbGate instance are particularly vulnerable, as an attacker could potentially exploit the vulnerability to compromise other users' accounts.

• nodejs / server:

  grep -r 'applicationIcon' ./packages/web/src/

• generic web:

  curl -I <dbgate_url>/packages/web/src/icons/FontIcon.svelte | grep -i 'content-type'

1. 2026-04-13Disclosure

   disclosure

2. 2026-04-13Patch

   patch

1. 予約済み2026-04-13
2. 公開日2026-04-13
3. 更新日2026-04-14
4. EPSS 更新日2026-04-21

この脆弱性への主な対策は、dbgate-webをバージョン7.1.5にアップグレードすることです。アップグレードがシステムに影響を与える場合は、一時的な回避策として、dbgate-webの入力検証を強化し、信頼できないソースからのSVGアイコン文字列の処理を制限することを検討してください。また、WAF（Web Application Firewall）を導入し、XSS攻撃を検知・防御するルールを設定することも有効です。dbgate-webのログを監視し、不審なアクティビティがないか確認することも重要です。アップグレード後、dbgate-webのバージョンが7.1.5であることを確認してください。