yappa-ng におけるXSSの脆弱性、開発者と連絡取れず使用中止を呼びかけ | ScanNetSecurity
2025.11.28(金)

yappa-ng におけるXSSの脆弱性、開発者と連絡取れず使用中止を呼びかけ

独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は4月22日、yappa-ng におけるクロスサイトスクリプティングの脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。影響を受けるシステムは以下の通り。

脆弱性と脅威 セキュリティホール・脆弱性
独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は4月22日、yappa-ng におけるクロスサイトスクリプティングの脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。影響を受けるシステムは以下の通り。

開発者:yet another PHP photo album next generation(届出当時の記載による)
届出のあったソフトウエア製品名およびバージョン:yappa-ng 2.3.2

yet another PHP photo album next generationが提供する PHPフォトギャラリーyappa-ng( http://www.zirkon.at/zirkon/scripts/yappa-ng/yappa-ng_main_eng.html )には、当該ソフトウエア製品のページにアクセスしたユーザのWebブラウザ上で、意図しないスクリプトが実行されるクロスサイトスクリプティングの脆弱性が存在し、当該製品を使用するサイトにアクセスしたユーザのWebブラウザ上で、任意のスクリプトを実行される可能性がある。

JVNでは、製品開発者と連絡が取れないため、本脆弱性の対策状況は不明でyappa-ng 2.3.2 の使用中止を検討するよう注意を呼びかけている。

なおIPAでは2020年6月25日に、届出で提供された情報をもとに脆弱性の再現を確認している。

《ScanNetSecurity》

関連記事

特集

PageTop

アクセスランキング

  1. 15 億円の身代金要求した疑い セキュリティ企業の社員が自らランサムウェア仕掛けたか

    15 億円の身代金要求した疑い セキュリティ企業の社員が自らランサムウェア仕掛けたか

  2. 社員の個人保有 PC がウイルス感染、業務で使用する認証情報が流出

    社員の個人保有 PC がウイルス感染、業務で使用する認証情報が流出

  3. 西濃運輸に不正アクセス、「見つカル倉庫」会員データ約 1,800 件漏えいした可能性

    西濃運輸に不正アクセス、「見つカル倉庫」会員データ約 1,800 件漏えいした可能性

  4. バンダイチャンネル「ランサムウェアによる被害でないことも確認できております」

    バンダイチャンネル「ランサムウェアによる被害でないことも確認できております」

  5. バンダイチャンネルで意図せず退会となる障害

    バンダイチャンネルで意図せず退会となる障害

ランキングをもっと見る
PageTop