重要情報 脆弱性の概要 CVE番号: CVE-2025-8541 脆弱性タイプ: ストアド型クロスサイトスクリプティング（Stored XSS） 影響を受けるファイル: パラメータ: 脆弱性詳細 攻撃対象のエンドポイント: 悪意のあるスクリプトが実行されるページ: 問題の説明: アプリケーションは、 パラメータ内のユーザー入力を適切に検証およびクリーンアップしていないため、悪意のあるスクリプトが保存され、影響を受けるページにアクセスした際に自動的に実行されます。 概念実証（PoC） 手順: 1. 攻撃対象のエンドポイントにアクセスします。 2. 最初のフィールド（"Pais"）で国「Brasil」を選択します。 3. 2番目のフィールド（"Estado UF"）で任意のオプションを選択します。 4. 3番目のフィールド（"Nome"）にペイロードを挿入します。 5. 「Salvar」ボタンをクリックし、悪意のあるスクリプトが自動的にアクティブ化されるページに遷移します。 ペイロード: 影響 セッションクッキーの窃取: 攻撃者は窃取したセッションクッキーを利用してユーザーのセッションを乗っ取り、ユーザーに代わって操作を実行できます。 マルウェアのダウンロード: 攻撃者はユーザーを欺き、コンピュータにマルウェアをダウンロードおよびインストールさせます。 ブラウザの乗っ取り: 攻撃者はユーザーのブラウザを乗っ取り、またはブラウザベースの脆弱性攻撃を提供できます。 資格情報の窃取: 攻撃者はユーザーの資格情報を窃取できます。 機密情報の取得: 攻撃者は、ユーザーのアカウントまたはブラウザに保存されている機密情報を入手できます。 Webサイトの改ざん: 攻撃者はコンテンツを変更することでWebサイトを改ざんできます。 ユーザーへの误导: 攻撃者はユーザーに対して提示される指示を変更し、その行動を误导できます。 企業評判の損傷: 攻撃者は会社のWebサイトを改ざんすることで、企業のイメージを傷つけたり、誤情報を拡散したりできます。 参照資料 CVE VulDB 発見者 Karina Gante