概要
OpenSiftは、セマンティック検索と生成AIを活用して大規模データセットを処理するAI学習ツールです。このOpenSiftのバージョン1.1.2-alphaおよびそれ以前において、持続的クロスサイトスクリプティング（XSS）の脆弱性（CVE-2026-27169）が報告されました。
この脆弱性は、チャットツールのユーザーインターフェース（UI）が、信頼できないユーザーやAIモデルからのコンテンツを安全でないHTML補間パターンでレンダリングすることに起因します。
影響範囲
- 影響を受ける製品: OpenSift
- 影響を受けるバージョン: バージョン1.1.2-alphaおよびそれ以前
- 修正済みバージョン: バージョン1.1.3-alphaで修正されています。
想定される影響
攻撃者が、学習コンテンツ、クイズ、フラッシュカードなどの保存コンテンツに不正なスクリプトを埋め込むことに成功した場合、そのコンテンツを閲覧した認証済みユーザーのブラウザ上で、埋め込まれたJavaScriptが実行される可能性があります。
これにより、攻撃者は被害者のローカルアプリケーションセッション内で、被害者として任意の操作を実行できる可能性があります。例えば、セッションハイジャック、情報の窃取、不正なコンテンツの作成などが考えられます。
攻撃成立条件・悪用状況
攻撃が成立するためには、攻撃者がOpenSiftの学習/クイズ/フラッシュカードなどの保存コンテンツに影響を与え、悪意のあるスクリプトを埋め込むことができる必要があると報告されています。
現在のところ、この脆弱性の具体的な悪用状況については、公開情報からは確認できません。
推奨対策
最優先で実施すべき対策
- OpenSiftをバージョン1.1.3-alpha以降に速やかにアップデートしてください。このバージョンで本脆弱性は修正されています。
中長期的な対策
- 利用している全てのソフトウェアについて、常に最新のセキュリティパッチが適用されているかを確認し、定期的なアップデートを徹底してください。
- ユーザーが入力するコンテンツや、外部から取り込むコンテンツに対しては、常にサニタイズ処理を徹底し、HTMLエンコーディングなどの適切な対策を講じることで、XSS攻撃のリスクを低減できる可能性があります。
一時的な緩和策
本脆弱性に対する根本的な解決策は、修正済みバージョンへのアップデートです。アップデートが困難な場合、一時的な緩和策として、信頼できないソースからのコンテンツをOpenSiftに保存しない、または閲覧しないよう注意を払うことが考えられます。しかし、これは根本的な解決にはなりません。
確認方法
現在利用しているOpenSiftのバージョンが1.1.2-alpha以前であるかを確認してください。バージョン情報は通常、アプリケーションの設定画面やヘルプメニューから確認できる場合があります。
参考情報
本脆弱性に関する詳細情報は、以下のリンクをご参照ください。