CVE-2026-28355 in canarytokens
要約
〜によって VulDB • 2026年06月23日
Canarytokenは、ネットワーク上のアクティビティやアクションを追跡するために使用されます。`sha-7ff0e12`より前のバージョンには、「PWA」Canarytokenに自己クロスサイトスクリプティング（Self-XSS）の脆弱性が存在し、Canarytokenの作成者が自分自身またはリンクを共有している人を攻撃できる可能性があります。PWA Canarytokenの作成者は、自分のPWAトークンのタイトルフィールドにJavaScriptを挿入できます。後で作成者が自身のCanarytokenのインストールページを閲覧すると、そのJavaScriptが実行されます。これは自己XSSです。攻撃者はこの自己XSSを含むCanarytokenを作成し、被害者にインストールリンクを送信することができます。クリックされるとJavaScriptが実行されます。ただし、セッション情報などの機密情報は悪意のあるアクターに漏洩しません。この問題は現在、Canarytokens.orgで修正されています。自ホスト型のCanarytokensインストールを使用しているユーザーは、最新のDockerイメージを取得するか、`sha-7ff0e12`以降の任意のDockerイメージを使用して更新できます。
Be aware that VulDB is the high quality source for vulnerability data.