-オープンソースのSNSエンジン OpenPNEプロジェクト-

最新ブログ

Home

opTimelinePlugin 1.2.11 以下に存在する XSS脆弱性 の修正のお知らせ(OPSA-2023-001)

12 / 14 木曜日 2023

opTimelinePlugin 1.2.11 以下 には、ニックネームに含まれる任意のスクリプトが表示時に実行されてしまう XSS脆弱性が存在します。
この問題の対策版として opTimelinePlugin 1.2.11.1 のリリースを行いましたので、内容を確認のうえバージョンアップまたはパッチの適用をお願いいたします。

概要

opTimelinePlugin 1.2.11 以下 には、ニックネームに含まれる任意のスクリプトが表示時に実行されてしまう XSS脆弱性が存在します。

本問題について

影響を受けるシステム

opTimelinePlugin 1.2.11 以下 を使用しているサイト

想定される影響

下記手順にて操作を行うことで、ニックネームに含まれる任意のスクリプトが表示時に実行されてしまう。
1. 管理画面 > デザイン設定 > ガジェット設定 にて、ホーム画面に「SNSメンバーのタイムライン」ガジェットを設置する
2. プロフィール編集にてニックネームに任意のスクリプトを設定する
3. JSON API を利用してタイムライン投稿を行う

対策方法

本問題への対応方法

「影響をうけるシステム」で示した条件を満たすすべてのサイトは、以下の対応を実施してください。

opTimelinePlugin

プラグインのリリース情報を参考に更新をおこなってください。

謝辞

本脆弱性は、GMOサイバーセキュリティ byイエラエ株式会社 の 石井 健太郎 氏よりご報告を頂きました。
また本脆弱性は、IPA によって報告がなされ、 JPCERT/CC による調整をしていただきました。

報告者の方、および、本問題の解決にあたられた関係者各位に対して厚く御礼申し上げます。

関連情報

この問題については、2024/02/29(木)に、「JVN#78084105 OpenPNE 用プラグイン opTimelinePlugin におけるクロスサイトスクリプティングの脆弱性」として下記の URL で公開されました。
https://jvn.jp/jp/JVN78084105/
English: https://jvn.jp/en/jp/JVN78084105/

セキュリティ上の問題の報告手順について

OpenPNE プロジェクトでは、以下に案内している通り、セキュリティ上の問題の報告を受け付ける窓口 (security@openpne.jp) を用意しています。

https://redmine.openpne.jp/projects/op3/wiki/How_To_Report_Issue_%28ja%29#%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E4%B8%8A%E3%81%AE%E5%95%8F%E9%A1%8C%E3%82%92%E5%A0%B1%E5%91%8A%E3%81%99%E3%82%8B

セキュリティ上の問題を発見した場合は、通常の公開されたバグ報告の手順を踏むのではなく、 security@openpne.jp に連絡してください。 security@openpne.jp はクローズドなメーリングリストであり、このメーリングリストでおこなわれた脆弱性の詳細情報などのやり取りがそのまま公開されることはありません。

旧安定版 OpenPNE 3.8.50、新安定版 OpenPNE 3.10.15 リリースのお知らせ

12 / 14 木曜日 2023

本日 2023/12/14、旧安定版 OpenPNE 3.8.50 及び新安定版 OpenPNE 3.10.15 をリリースしました。

今回のリリースでは、各ガジェットの設定状況と連動してスマートフォン版画面上部の POST ボタンの表示・非表示が切り替わるように修正を行なっています。
その他、詳細に関しては各チケットをご覧ください。

次回の OpenPNE のリリースは 2024年03月14日(木) を予定しています。

不具合、何か気づいた点などあれば公式 SNSredmine.openpne.jp などで報告していただければと思います。

リリース情報などの情報は pnetan が X(旧Twitter) でよくつぶやいていますので
是非フォローしてみてください。
pnetan 公式アカウント

続きを読む

旧安定版 OpenPNE 3.8.49、新安定版 OpenPNE 3.10.14 リリースのお知らせ

09 / 14 木曜日 2023

本日 2023/09/14、旧安定版 OpenPNE 3.8.49 及び新安定版 OpenPNE 3.10.14 をリリースしました。

今回のリリースでは、メンバー画面の「友人を招待する」から招待を行うと member テーブルにレコードが2つ作成される問題の修正等を行なっています。
その他、詳細に関しては各チケットをご覧ください。

次回の OpenPNE のリリースは 2023年12月14日(木) を予定しています。

不具合、何か気づいた点などあれば公式 SNSredmine.openpne.jp などで報告していただければと思います。

リリース情報などの情報は pnetan が Twitter でよくつぶやいていますので
是非フォローしてみてください。
pnetan 公式アカウント

続きを読む

旧安定版 OpenPNE 3.8.48、新安定版 OpenPNE 3.10.13 リリースのお知らせ

06 / 05 月曜日 2023

本日 2023/06/08、旧安定版 OpenPNE 3.8.48 及び新安定版 OpenPNE 3.10.13 をリリースしました。

今回のリリースでは、スマートフォンプロフィール画面にプロフィール写真ガジェットを追加する修正等を行なっています。
その他、詳細に関しては各チケットをご覧ください。

次回の OpenPNE のリリースは 2023年09月14日(木) を予定しています。

不具合、何か気づいた点などあれば公式 SNSredmine.openpne.jp などで報告していただければと思います。

リリース情報などの情報は pnetan が Twitter でよくつぶやいていますので
是非フォローしてみてください。
pnetan 公式アカウント

続きを読む

旧安定版 OpenPNE 3.8.47、新安定版 OpenPNE 3.10.12 リリースのお知らせ

03 / 09 木曜日 2023

本日 2023/03/09、旧安定版 OpenPNE 3.8.47 及び新安定版 OpenPNE 3.10.12 をリリースしました。

今回のリリースでは、スマートフォン・PC間の表示切り替えに関する問題の修正等を行なっています。
その他、詳細に関しては各チケットをご覧ください。

次回の OpenPNE のリリースは 2023年06月08日(木) を予定しています。

不具合、何か気づいた点などあれば公式 SNSredmine.openpne.jp などで報告していただければと思います。

リリース情報などの情報は pnetan が Twitter でよくつぶやいていますので
是非フォローしてみてください。
pnetan 公式アカウント

続きを読む

opTimelinePlugin 1.2.11 alpha版 リリースのお知らせ

12 / 27 火曜日 2022

本日、opTimelinePlugin 1.2.11 (alpha) をリリースしました。
今回のリリースでは、Google Map 小窓が正常に表示されない場合がある問題の修正を行なっています。
このバージョンは、OpenPNE 3.8.46 以降もしくは OpenPNE 3.10.11 以降にてご利用ください。

続きを読む

旧安定版 OpenPNE 3.8.46、新安定版 OpenPNE 3.10.11 リリースのお知らせ

12 / 08 木曜日 2022

本日 2022/12/08、旧安定版 OpenPNE 3.8.46 及び新安定版 OpenPNE 3.10.11 をリリースしました。

今回のリリースでは、小窓機能に関する問題の修正を行なっています。
その他、詳細に関しては各チケットをご覧ください。

次回の OpenPNE のリリースは 2023年03月09日(木) を予定しています。

不具合、何か気づいた点などあれば公式 SNSredmine.openpne.jp などで報告していただければと思います。

リリース情報などの情報は pnetan が Twitter でよくつぶやいていますので
是非フォローしてみてください。
pnetan 公式アカウント

続きを読む

旧安定版 OpenPNE 3.8.45、新安定版 OpenPNE 3.10.10 リリースのお知らせ

09 / 08 木曜日 2022

本日 2022/09/08、旧安定版 OpenPNE 3.8.45 及び新安定版 OpenPNE 3.10.10 をリリースしました。

今回のリリースでは、プロフィール項目に関する問題の修正を行なっています。
その他、詳細に関しては各チケットをご覧ください。

次回の OpenPNE のリリースは 2022年12月08日(木) を予定しています。

不具合、何か気づいた点などあれば公式 SNSredmine.openpne.jp などで報告していただければと思います。

リリース情報などの情報は pnetan が Twitter でよくつぶやいていますので
是非フォローしてみてください。
pnetan 公式アカウント

続きを読む

旧安定版 OpenPNE 3.8.44、新安定版 OpenPNE 3.10.9 リリースのお知らせ

06 / 09 木曜日 2022

本日 2022/06/09、旧安定版 OpenPNE 3.8.44 及び新安定版 OpenPNE 3.10.9 をリリースしました。

今回のリリースでは、パスワード登録画面で、ログイン画面の「ログインできない方はこちら」からパスワード再設定を行うとログインできなくなる問題の修正を行なっています。
その他、詳細に関しては各チケットをご覧ください。

次回の OpenPNE のリリースは 2022年09月08日(木) を予定しています。

不具合、何か気づいた点などあれば公式 SNSredmine.openpne.jp などで報告していただければと思います。

リリース情報などの情報は pnetan が Twitter でよくつぶやいていますので
是非フォローしてみてください。
pnetan 公式アカウント

続きを読む

旧安定版 OpenPNE 3.8.43、新安定版 OpenPNE 3.10.8 リリースのお知らせ

03 / 10 木曜日 2022

本日 2022/03/10、旧安定版 OpenPNE 3.8.43 及び新安定版 OpenPNE 3.10.8 をリリースしました。

今回のリリースでは、パスワード登録画面で、入力するパスワードに文字数の制限がない問題などの修正を行なっています。
その他、詳細に関しては各チケットをご覧ください。

次回の OpenPNE のリリースは 2022年6月9日(木) を予定しています。

不具合、何か気づいた点などあれば公式 SNSredmine.openpne.jp などで報告していただければと思います。

リリース情報などの情報は pnetan が Twitter でよくつぶやいていますので
是非フォローしてみてください。
pnetan 公式アカウント

続きを読む

ページの先頭に戻る