TYPO3 Indexed Search XSS Vulnerability Advisory (CVE-2026-47348)

脆弱性概要 脆弱性名称: TYPO3-CORE-SA-2026-010: 索引搜索中的跨站脚本 发布日期: 2026年6月9日 脆弱性タイプ: 跨サイトスクリプティング（XSS） 深刻度: 中 CVSSスコア: 4.0 (AV:N/AC:L/AT:N/PR:L/UI:P/VC:L/VH:N/SC:N/SI:L/SA:N) 参照リンク: CVE-2026-47348, CWE-79 影響範囲 影響を受けるバージョン: 13.0.0-13.4.30, 14.0.0-14.3.2 コンポーネントタイプ: TYPO3 CMS サブコンポーネント: Indexed Search (ext:indexed_search) 解決策 解決策: 上記の問題を修正するには、TYPO3のバージョン13.4.31 LTSまたは14.3.3 LTSにアップグレードしてください。 問題の説明 ページコンテンツの作成または変更権限を持つ編集者が、ページタイトルにHTMLタグを含めることができる。これらのタグは検索インデックスに格納され、サニタイズ（消毒）されていない。Indexed Searchプラグインによってフロントエンドの検索結果に表示された際、これらのタイトルは適切な出力エンコーディングなしにレンダリングされるため、クロスサイトスクリプティング脆弱性が生じる。 一般的な提案 TYPO3セキュリティガイドラインの推奨事項に従い、typo3-announceメーリングリストに登録してください。 一般的な備考 セキュリティ関連のすべてのコード変更はマーク付けされており、当社のレビューシステムで簡単に検索できるようにしています。 著者情報 著者: Oliver Hader 役職: TYPO3 GmbH, Hof, ドイツのコア開発者 プロフィール: Oliverは2005年からTYPO3を利用しており、その製品やエコシステムに魅了されています。2007年以降、TYPO3コアチームの一員です。2014年に大学に戻り、インターネットネットワーク科学の修士課程の学位を取得し、現在では高度なネットワーク技術のトピック、特にTYPO3について研究しています。オフタイムには、ドイツのホフ（バイエルン州北部）の山間地域でのサイクリングが趣味です。 コードブロック ページにはPOCコードやエクスプロイトコードは含まれていません。

目標達成 すべての支援者に感謝 — 100%達成しました！

TYPO3 Indexed Search XSS Vulnerability Advisory (CVE-2026-47348)

目標達成すべての支援者に感謝 — 100%達成しました！