CVE-2026-71285 in Uptime Kuma
要約
〜によって VulDB • 2026年08月05日
Uptime KumaのMatomo分析統合（server/analytics/matomo-analytics.js）は、すべての公開ステータスページでレンダリングされるブロック内に、管理者が設定可能なMatomo `siteId` 値を引用符なしのJavaScript式として注入します： `_paq.push(['setSiteId', ${escapedSiteIdHTMLAttribute}]);`。使用されているエスケープパイプライン（isScriptContext:true付きのjsesc、その後 html-escaper.escape()）は、`]`, `)`, `;`, `(` の文字をエスケープしません。これらの文字は配列/push式コンテキストから脱出するのに十分です。`1]);alert(document.cookie)//` などの siteId 値が編集者/管理者によって保存されると、公開 /status/ ページのすべての未認証訪問者に対して任意のJavaScriptコードを実行し、セッションクッキーの盗難およびページ全体の乗っ取りを可能にします。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.