つみかさね

CVE-2026-55674

Critical(9.3)

DiscourseのCookie経由HTMLインジェクション CVE-2026-55674：影響範囲と対応方法

公開日: 2026-09-20データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
DiscourseDiscourse< 2026.1.6 / < 2026.5.2 / < 2026.6.1 / < 2026.7.0

対応ガイド

high|対応必須セキュリティ修正影響: 広範

推奨アクション

  1. 1稼働中のDiscourseのバージョンを確認する
  2. 2利用系列に応じた修正版へアップデートする
  3. 3アップデート後にフォーラムの表示・動作を確認する

影響対象

Discourse セルフホスト運用者

対応不要な人

  • ✓Discourseを利用していない
  • ✓修正版（2026.1.6 / 2026.5.2 / 2026.6.1 / 2026.7.0 以降）を使用している

補足

  • -未認証で悪用可能なため、公開フォーラムでは特に優先して対応してください
CVEDiscourseXSSHTMLインジェクション

30秒で判断

  • 対応すべき人: Discourse をセルフホストで運用している
  • 対応不要な人: Discourse を利用していない、または修正版（2026.1.6 / 2026.5.2 / 2026.6.1 / 2026.7.0 以降）を使用している
  • 確認コマンド: 管理画面 /admin またはコンテナ内でDiscourseのバージョンを確認

概要

Discourse はオープンソースの掲示板 / ディスカッションプラットフォームです。本脆弱性は、color_scheme_id（または dark_scheme_id）Cookieの値がエスケープされないままカラースキームタグへ描画されていたことに起因します。未認証の攻撃者が細工したCookieを含むリクエストを送ることで、属性から抜け出す形でHTMLを注入でき、nonceベースのContent Security Policy（CSP）を回避して、閲覧者のブラウザ上で任意のJavaScriptを実行できる可能性があります。

CSPは本来クロスサイトスクリプティング（XSS）の影響を緩和する仕組みですが、本件ではその回避が可能であるため、通常のXSSよりも悪用の敷居が下がります。単一のリクエストで成立し、認証も不要なため、公開フォーラムでは不特定多数の閲覧者が影響を受けるおそれがあります。攻撃が成功すると、セッションの窃取や管理操作の悪用など、二次的な被害に発展する可能性があります。

CVSSベクトル

項目値
CVSSスコア9.3（CRITICAL）
CWECWE-79（クロスサイトスクリプティング）

影響を受けるソフトウェア

製品ベンダーバージョン
DiscourseDiscourse2026.1.6 / 2026.5.2 / 2026.6.1 / 2026.7.0 より前

修正バージョンと回避策

利用中のリリース系列に応じて 2026.1.6 / 2026.5.2 / 2026.6.1 / 2026.7.0 のいずれか以降へアップデートしてください。

関連リンク

データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-55674
GHSA:https://github.com/discourse/discourse/security/advisories/GHSA-qx4v-rg4v-pm2g
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。