CVSS 9.0 以上
CVE-2026-55486
要約
Goobi viewerのバージョン25.08から26.05より前では、AuthorizationFlowResourceのIIIF Auth 2.0エンドポイントであるauth/loginとauth/tokenが、originクエリパラメータを検証せずに受け付けている。この値はContent-Security-Policyのframe-ancestorsレスポンスヘッダーと、HTMLレスポンス本文内のJavaScriptのpostMessage引数(シングルクォート内)に埋め込まれ、エスケープされないためリフレクテッドXSSが生じる。この問題はバージョン26.05で修正されている。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
Goobi viewerIIIF Auth 2.0Content-Security-PolicyHTMLJavaScript
このタグの新着を RSS で受け取る: Goobi viewer / IIIF Auth 2.0 / Content-Security-Policy / HTML / JavaScript(使い方)
判定の理由
- CVSS 9.0 以上