Usememos Memos <=0.22.1 Privilege Escalation Stored XSS via UpdateInstanceSetting

脆弱性サマリー：UseMemos Memos 0.22.1 のクロスサイトスクリプティング（XSS）脆弱性 脆弱性概要 脆弱性番号: #79342 脆弱性タイプ: 格納型クロスサイトスクリプティング（Stored XSS） 脆弱性説明: バックエンドの gRPC-web エンドポイント において、ユーザー権限の適切な検証が行われていません。これにより、標準的な「Member」権限を持つユーザーがフロントエンド UI の制限を回避し、グローバルなインスタンス設定を変更できるようになります。攻撃者はシステム設定ページにアクセスし、 または フィールドに悪意のある JavaScript や CSS を注入することで、設定を直接 DOM に注入できます。フロントエンドアプリケーション（ ）が プロパティを使用してレンダリングを行っているため、悪意のあるコードはウェブサイトにアクセスするすべてのユーザー（管理者を含む）のコンテキストで実行されます。 影響範囲 影響を受けるバージョン: UseMemos Memos（バージョン <= 0.22.1） 深刻度: Critical（重大） 潜在的な影響: - セッションハイジャック（Session Hijacking） - 資格情報の窃盗（Credential Theft） - 無許可の管理操作（Unauthorized Administrative Actions） - グローバルインスタンス設定の乗っ取り（Hijack Global Instance Settings） 修正方法 修正ステータス: 採用済み（Accepted） 修正推奨事項: gRPC-web エンドポイントのアクセス制御ロジックを修正し、グローバルなインスタンス設定の変更ができる権限を管理者にのみ制限します。 脆弱性実証コード（POC）

目標達成 すべての支援者に感謝 — 100%達成しました！

Usememos Memos <=0.22.1 Privilege Escalation Stored XSS via UpdateInstanceSetting

目標達成すべての支援者に感謝 — 100%達成しました！