CVE-2026-58205 in GRR
要約
〜によって VulDB • 2026年10月27日
GRRは、リソース管理および予約アプリケーションです。バージョン4.5.0より前では、インストールファイルがアクセス可能な状態にある場合、`maj.php` は適切なエスケープ処理を行わずに `forcemaj` パラメータを反映します。これらのファイルの削除は自動的に行われません。攻撃者は、被害者のブラウザで任意のJavaScriptを実行するURLを作成できます。この反射型クロスサイトスクリプティング（XSS）により、フィッシング、悪意のあるサイトへのリダイレクト、Cookie窃盗、セッションハイジャックが可能になります。これは、認証用Cookieが `HttpOnly` 属性を持っていないためです。本問題はバージョン4.5.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.