結論
CVE-2026-34241は、CtrlPanelのバージョン1.1.1以前に存在するStored Cross-Site Scripting (XSS)の脆弱性です。この脆弱性により、低権限の攻撃者が管理者セッションを乗っ取る可能性があります。影響を受けるユーザーは、すぐにバージョン1.2.0にアップデートすることが推奨されます。
この記事の要点
- CtrlPanelのバージョン1.1.1以前にStored XSSの脆弱性が存在
- 攻撃者は管理者セッションを乗っ取ることが可能
- バージョン1.2.0で修正済み
脆弱性の概要
CtrlPanelはホスティングプロバイダー向けのオープンソースの請求ソフトウェアです。バージョン1.1.1以前には、チケット返信通知システムにおいてStored Cross-Site Scripting (XSS)の脆弱性が存在します。未処理の返信内容がデータベースに直接保存され、受信者のブラウザでBladeの{!! !!}構文を介してエスケープされずに表示されます。この欠陥は、ユーザーが返信した際に管理者をターゲットにするApp\Notifications\Ticket\Admin\AdminReplyNotificationと、管理者が返信した際にユーザーをターゲットにするApp\Notifications\Ticket\User\ReplyNotificationの両方に存在し、被害者のセッションコンテキストで任意のJavaScriptを実行可能にします。権限の低い攻撃者はこれを利用して管理者セッションを乗っ取り、偽のログインプロンプトやキーロガーを通じて資格情報を収集し、被害者の代理で管理者権限を昇格させることができます。逆に、悪意のあるまたは侵害された管理者が通常のユーザーを同様に攻撃することも可能です。この問題はバージョン1.2.0で修正されています。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-34241 |
| 公開日 | 2026-05-19T22:16:37.297000Z |
| 対象システム | CtrlPanel 1.1.1以前 |
| 脆弱性の種類 | Stored Cross-Site Scripting (XSS) |
| CVSSスコア | 8.7 |
| 攻撃条件 | 認証不要 / ネットワーク経由 |
◆ CVEについてはこちらから
まず何をすべきか
- 使用しているCtrlPanelのバージョンを確認する
- バージョン1.1.1以前を使用している場合は、すぐにバージョン1.2.0にアップデートする
出典元
- NVD詳細ページ：https://nvd.nist.gov/vuln/detail/CVE-2026-34241
- CVE公式ページ（cve.org）：https://www.cve.org/CVERecord?id=CVE-2026-34241
- security-advisories@github.com：https://github.com/Ctrlpanel-gg/panel/releases/tag/1.2.0
- security-advisories@github.com：https://github.com/Ctrlpanel-gg/panel/security/advisories/GHSA-cmrr-q3hw-3vqh
対象システムと影響範囲
CtrlPanelのバージョン1.1.1以前を使用しているホスティングプロバイダーが影響を受けます。
被害内容
この脆弱性が悪用されると、攻撃者は管理者権限を乗っ取り、偽のログインプロンプトやキーロガーを使用して資格情報を収集することが可能です。また、被害者の代理で管理者権限を昇格させることもできます。
既知の悪用状況
現時点では実際の攻撃への悪用は確認されていません。
対応方法
CtrlPanelのバージョン1.2.0にアップデートすることが推奨されます。
FAQ
Q1. どの製品が影響を受けますか？
影響を受けるのはCtrlPanelのバージョン1.1.1以前を使用しているシステムです。
Q2. まず何をすればよいですか？
使用しているバージョンを確認し、1.2.0にアップデートしてください。
Q3. 実際の悪用は確認されていますか？
現時点では実際の攻撃への悪用は確認されていません。
コメント