Cross Site Scripting – IoT OT Security News

Label Studio の XSS 脆弱性 CVE-2025-47783 が FIX：任意の JavaScript の挿入／実行

XSS Vulnerability Discovered in Label Studio: Update Now!

2025/05/19 SecurityOnline — 機械学習モデルのデータセットにアノテーションを付与するために、広く用いられる OSS データ・ラベリング・ツール Label Studio に、反射型クロスサイト・スクリプティング (XSS) の脆弱性が存在することを、研究者たちが明らかにした。Label Studio のバージョン 1.18.0 未満に影響を及ぼす、脆弱性 CVE-2025-47783 を悪用する攻撃者は、ユーザー・セッションのコンテキストで、任意の JavaScript 挿入／実行の可能性を得るという。

Cisco SD-WAN の脆弱性 CVE-2025-20147／20221 が FIX：XSS と Filter Bypass と PoC

Cisco SD-WAN Vulnerabilities: PoC Exists for XSS and Filter Bypass

2025/05/09 SecurityOnline — Cisco が公表したのは、SD-WAN ソフトウェア・スイートに存在する、蓄積型クロスサイト・スクリプティング (XSS) およびトラフィック・フィルタ・バイパスの脆弱性に関するアドバイザリであり、潜在的な悪用リスクについてユーザに警告している。これらの脆弱性 CVE-2025-20147／CVE-2025-20221 の脆弱性は Medium レベルのリスクをもたらすものだが、パッチを適用せずに放置すると、不正なデータ・インジェクションやトラフィック操作の可能性が生じる。

OAuth と XSS のコンボ攻撃：数百万人の Web ユーザーをアカウント乗っ取りで脅かす

OAuth+XSS Attack Threatens Millions of Web Users With Account Takeover

2024/07/29 DarkReading — Web ユーザーの行動を追跡／記録するサービスの Hotjar と、人気のニュース・サイト Business Insider の API に、重大なセキュリティ欠陥が存在することが判明した。最新の認証規格が悪用され、長年の脆弱性が復活させられたことで、数百万人のユーザーがアカウント乗っ取りの危険にさらされている。API のセキュリティ会社である Salt Security の Salt Labs が、7月29日に公開したブログによると、認証規格の OAuth と、２つのサイトの XSS (cross-site scripting) の欠陥を組み合わせることで、攻撃者は機密データの窃取が可能になり、100万以上の Web サイトの正規ユーザーを装う悪質な活動の可能性が生じているという。

Canon Medical の脆弱性 CVE-2022-37461：患者情報の流出を Trustwave が警告

Canon Medical Product Vulnerabilities Expose Patient Information

2022/09/30 SecurityWeek — Trustwave は、Canon Medical の医療画像共有ツール Vitrea View に、２つのクロスサイト・スクリプティング (XSS：cross-site scripting) の脆弱性が存在すると、医療機関に警告を発している。企業向け閲覧ソリューションとして知られる Vitrea View は、医療機関／医師／放射線技師などが医療画像を安全に共有するために使用され、デスクトップ／モバイルデバイスの両方でブラウザからアクセスができる。