Waline

Waline に関連する脆弱性 3

• 重大 9.3 解説あり Walineに脆弱性、管理者アカウント奪取の恐れ 修正版なし Walineの@waline/client（3.15.2以前）に、管理者がコメントの編集画面を開くだけでログイン用トークンを盗まれる脆弱性があります。修正版は未公開なので、利用の有無を確認し、編集操作を控える運用に切り替えてください。 CVE-2026-64670 11月11日 12:42
• 高 7.2 Waline（@waline/client）にストアド型XSSの脆弱性、閲覧者のブラウザで任意のスクリプトが実行されるおそれ Waline（@waline/client）の UserList ウィジェットに、コメント投稿者のリンク欄をエスケープせずに表示する脆弱性が見つかりました。3.15.2以前が対象で、未認証の訪問者でも細工したリンクを投稿でき、そのページを開いたすべての閲覧者のブラウザで操作なしにスクリプトが実行されるおそれがあります。公開時点で修正版は公開されていないため、最新の情報を確認してください。 CVE-2026-64671 11月11日 12:42
• 中 6.5 Waline login accepts a non-string email as a match-all MongoDB query CVE-2026-55369 10月28日 21:56