CVE-2026-106155 Stored XSS in Progress Telerik Report Server Web Report Viewers Advisory

脆弱性の概要 脆弱性名称: Telerik Report Server Web Report Viewers における保存型クロスサイトスクリプティング（Stored XSS） CVE識別子: CVE-2026-106155 公開日: 2026年10月 CVSSスコア: 8.9 脆弱性タイプ: CWE-79: Webページ生成時の入力に対する不十分な中和（『クロスサイトスクリプティング』） CAPEC識別子: CAPEC-18: スクリプト要素以外を対象としたXSS 影響範囲 影響を受ける製品: Progress Telerik Report Server 影響を受けるバージョン: 12.2.26.1007 以前のバージョン 脆弱性の説明: 共有レポートエンジンにおいて、保存型クロスサイトスクリプティング（Stored XSS）の脆弱性により、認証済みレポート作者がレポートナビゲーション操作やHTMLテキストボックスリンクに や のURLを埋め込むことが可能です。他のユーザーが悪意のあるレポートを閲覧し、埋め込まれたナビゲーショントリガーを発動させると、攻撃者が制御するスクリプトがレポートビューアのコンテキスト内で実行されます。マルチユーザー環境では、これにより管理者セッションを含む特権昇格が可能になる場合があります。 修正方法 修正バージョン: 12.2.26.1007 以降 修正措置: - ナビゲーション操作およびHTMLテキストボックスリンクにおける および URLの使用をブロックします。 - 大文字・小文字の区別やASCII制御文字、空白による混乱を考慮した検証を行います。 - クライアント側のナビゲーションガードにより防御の深層化を図ります。 - その他のURLスキームおよび相対URLは変更されません。 動作変更: または によるナビゲーションを意図的に使用しているレポートの見直しが必要です。これらのURLは、ブラウザソースのXSSが存在しないデスクトップビューアを含む、すべてのレンダラーでブロックされます。 アップグレードガイド: 詳細な手順については、Report Server upgrade instructions を参照してください。Progress Telerik Report Server のライセンスをお持ちのすべての顧客は、こちらからダウンロードにアクセスできます：Product Downloads 外部参照 CVE-2026-106155 (High) CVSS: 8.9 ベクトル: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:L

目標達成すべての支援者に感謝 — 100%達成しました！

CVE-2026-106155 Stored XSS in Progress Telerik Report Server Web Report Viewers Advisory

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2026-106155 Stored XSS in Progress Telerik Report Server Web Report Viewers Advisory

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！