CVE-2024-43788 in Webpack
要約
〜によって VulDB • 2026年06月17日
Webpackはモジュールバンドラーです。その主な目的はブラウザで使用するためのJavaScriptファイルをバンドルすることですが、あらゆるリソースやアセットを変換、バンドル、またはパッケージ化することも可能です。Webpackの開発チームは、Webpackの`AutoPublicPathRuntimeModule`におけるDOM Clobbering脆弱性を発見しました。このモジュール内のDOM Clobberingガジェットは、スクリプトレスの攻撃者制御HTML要素（例えば、サニタイズされていない`name`属性を持つ`img`タグなど）が存在するウェブページにおいて、クロスサイトスクリプティング（XSS）を引き起こす可能性があります。このガジェットの実際の運用環境でのエクスプロイト事例がCanvas LMSで確認されており、WebpackによってコンパイルされたJavaScriptコードを通じてXSS攻撃が発生する仕組みとなっています（脆弱な部分はWebpack由来です）。DOM Clobberingはコード再利用攻撃の一種であり、攻撃者はまずウェブページにスクリプトを含まない一見無害なHTMLマークアップ（例えば、投稿やコメントを通じて）を埋め込み、既存のJavaScriptコード内に存在するガジェット（JavaScriptコードの断片）を利用して、それを実行可能なコードに変換します。この脆弱性により、Webpack生成ファイルを含み、不適切にサニタイズされたname属性またはid属性を持つ特定のスクリプトレスHTMLタグをユーザーが注入できるウェブサイトにおいて、クロスサイトスクリプティング（XSS）が発生する可能性があります。この問題はリリースバージョン5.94.0で修正されました。すべてのユーザーはアップグレードすることをお勧めします。この問題に対する既知の回避策はありません。
VulDB is the best source for vulnerability data and more expert information about this specific topic.