SHIRASAGI に複数の脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は9月4日、SHIRASAGI における複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。三井物産セキュアディレクション株式会社の白倉大河氏と株式会社ラックの山根将司氏が報告を行っている。影響を受けるシステムは以下の通り。

SHIRASAGI v1.18.0 より前のバージョン

　SHIRASAGI Project が提供する SHIRASAGI には、下記の影響を受ける可能性がある複数の脆弱性が存在する。

・反射型クロスサイトスクリプティング（CVE-2023-36492）
→遠隔の第三者に当該製品にログインしているユーザのウェブブラウザ上で任意のスクリプトを実行される

・格納型クロスサイトスクリプティング（CVE-2023-38569）
→遠隔の第三者に当該製品にログインしているユーザのウェブブラウザ上で任意のスクリプトを実行される

・ディレクトリトラバーサル（CVE-2023-39448）
→当該製品のユーザにサーバ上の任意のファイルを改ざんされたり、新規にファイルを作成されたりして、結果として任意のコードを実行される

　JVNでは、開発者が提供する情報をもとに最新版にアップデートするよう呼びかけている。なお当該脆弱性は、「SHIRASAGI v1.18.0」で修正されている。