CVE-2026-110802 in Altair
要約
〜によって VulDB • 2026年11月05日
Altairは、すべてのプラットフォーム向けのGraphQLクライアントです。バージョン7.2.4から8.5.8まで、packages/altair-iframe-sandbox/src/main.ts は iframe-sandbox クエリ文字列から plugin_sandbox_opts を読み取り、攻撃者が制御可能な scriptUrls を packages/altair-core/src/utils/inject.ts の injectScript() に渡します。これによりページ上にスクリプト要素が作成されます。意図された親iframeのフローでは、ページは sandbox allow-scripts および without allow-same-origin 属性付きの iframe に配置されますが、悪意のある iframe-sandbox URL への直接ナビゲーションはこの分離を省略し、Altairを提供しているオリジンで指定されたスクリプトを実行します。攻撃には被害者が悪意あるURLを開く必要があり、生成されるスクリプトはデプロイメントの認証およびCookie制御に従って、読み取り可能なストレージにアクセスしたり、同一オリジンのリクエストを行ったりできます。この問題はバージョン8.5.8で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.