Zipline脆弱性2件、XSSと認証回避 4.5.1に更新
Ziplineに、細工したファイルで閲覧者のブラウザー上でスクリプトが動く脆弱性と、パスキー認証を回避される脆弱性の2件が公表されました。社内外でファイル共有に使っている組織は4.5.1へ更新し、管理者アカウントの操作履歴も点検してください。
同じ発表の脆弱性 2 件
この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。
- CVE-2026-126945 高 9.3
- CVE-2026-126952 高 9.2
急ぎ度: 早めに
CVSS v4は9.3と9.2、v3は8.7と8.1といずれも高く、修正版の4.5.1が公開されているため、早めの更新が妥当です。
関係があるか
Ziplineを自前のサーバーで動かし、複数のユーザーにファイルのアップロードや共有リンクの閲覧をさせている組織が対象です。パスキーでログインするアカウントがあると、認証回避の影響も受けます。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Zipline(diced/zipline) | 保存型XSS(CVE-2026-126945)は4.5.1より前のすべての版です。認証回避（CVE-2026-126952）は4.4.0以下です。 | 4.5.1。認証回避の影響範囲は4.4.0以下なので、4.5.1は範囲の外です。 |
確かめ方
- 1Ziplineを自社で動かしているか、情シスや開発チームに確認します。個人や部署が独自に立てたサーバーも対象に入れてください。
- 2稼働中の版を確認します。Dockerなら、コンテナのイメージ名とタグを見ます。タグがlatestなどで版が分からないときは、管理画面などで版を確認してください。
- 3パスキーを登録しているアカウントがあるか、SUPERADMINのアカウントがパスキーでログインできる状態かを確認します。
- 4サーバーがインターネットや広い社内ネットワークに公開されているか、アップロードできるアカウントを誰が持っているかを確認します。
何が起きたか
Ziplineに、ほかのユーザーになりすまして操作できてしまう脆弱性が2件公表されました。1件はファイルを開いた人のブラウザー上で、もう1件はパスキーによるログインの段階で、本人以外が本人の権限に近づける不備です。
- CVE-2026-126945: ファイル閲覧画面のHighlightCodeコンポーネントが、シンタックスハイライト用のライブラリ（highlight.js）の読み込みが終わる前に、ファイルの内容をエスケープせずに表示します。保存型のクロスサイトスクリプティング（CWE-79）で、細工したテキストファイルを開いた人のブラウザー上でスクリプトが動きます（CVSS v3は8.7、v4は9.3）。
- CVE-2026-126952: WebAuthnのログイン用エンドポイントが、登録済みの認証情報IDを受け取ると、署名（アサーション）を検証しないままセッションを作ります。認証の検証不備（CWE-347）で、パスキーの認証器を持たない人が、そのアカウントとしてログインできてしまいます（CVSS v3は8.1、v4は9.2）。
どちらも4.5.1に更新すれば影響範囲から外れるため、次の定期メンテナンスを待たず、今週中に更新を計画するのが妥当だと筆者は考えています。
攻撃の流れ
-
1
細工ファイル投稿
アカウントを持つ攻撃者が、HTMLやスクリプトを含むテキストファイルをアップロードします。
-
2
閲覧者が開く
ほかのユーザーがそのファイルの閲覧画面を開くと、ブラウザー上でスクリプトが動きます。
-
3
本人権限で操作
スクリプトが閲覧者になりすましてAPIを呼び、アカウント設定の変更などを行います。
-
4
別経路:ID入手
認証回避では、攻撃者が標的のパスキーの認証情報IDを入手します。
-
5
なりすまし
認証器なしで標的のアカウントのセッションが作られ、SUPERADMINなら管理権限に及びます。
どう悪用されるか
保存型XSSでは、攻撃者がZiplineのアカウントを持ち、テキストファイルをアップロードできる必要があります。被害は、そのファイルの閲覧画面を開いたユーザーがいて初めて生じます。管理者権限までは求められていませんが、閲覧者が利用者の操作を伴って開くことが条件です。
認証回避では、標的のパスキーの認証情報IDを入手した攻撃者が、認証器を持たないままそのアカウントとしてログインできます。対象はパスキーが登録されているアカウントです。
被害として、XSSでは閲覧者の権限でAPIが呼ばれ、アカウント設定の変更などをされます。勧告にはデータの持ち出しの可能性も書かれています。認証回避では、標的がSUPERADMINだと、管理権限を握られるおそれがあります。
今すぐやること
-
1
稼働中の版を確認する
Ziplineのサーバーを洗い出し、版を確認します。Dockerなら次のコマンドでイメージ名とタグを一覧できます。
docker ps --format '{{.Names}} {{.Image}}' -
2
4.5.1に更新する
XSSの修正版は4.5.1です。認証回避は4.4.0以下が対象なので、4.5.1にすれば範囲から外れます。認証回避の修正版や対応内容は、Ziplineのリポジトリ(diced/zipline)のセキュリティ勧告で確認してください。
-
3
管理者アカウントの履歴を点検する
更新したあと、SUPERADMINを中心に、身に覚えのないログインや、ユーザー名・設定の変更がないかを調べます。不審な動きがあれば、該当アカウントのセッションを破棄し、パスキーを登録し直します。
-
4
既存のファイルを見直す
アップロードされたテキストファイルのうち、HTMLタグらしき内容を含むものがないかを確認します。見慣れないものは、開かずに中身を調べるか、削除します。
すぐ更新できないとき
すぐに更新できないときは、暫定策としてアクセス元をVPNや社内ネットワークに絞り、アップロードできるアカウントを信頼できる人だけにします。アップロードされたファイルの閲覧画面を開かない運用も有効です。パスキーでのログインを止められる設定があれば、更新までそれも検討してください。ベンダーが示す回避策は、勧告で確認してください。
背景
Ziplineは、ファイルや画像をアップロードして共有リンクを発行する、セルフホスト型のサーバーです。チーム内で資料やスクリーンショットをやり取りする用途で使われます。共有リンクを開くのは作成者本人とは限らず、アップロードされた内容が閲覧者のブラウザーで表示される仕組みなので、表示時の無害化の不備が閲覧者への攻撃に直結します。
パスキー（WebAuthn）の安全性は、ログインの際にサーバーが認証器の署名を検証することで成り立ちます。認証情報IDは署名とは違い、秘密として扱われるものではありません。今回の認証回避は、その署名の検証が抜けていたため、IDだけでセッションが作られてしまう不備です。
よくある質問
Q.パスキーを使っていなければ、認証回避は関係ありませんか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| dicedzipline |
4.5.1 未満→ 4.5.1 |
4.5.1 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Zipline before 4.5.1 contains a stored cross-site scripting vulnerability in the HighlightCode component that renders unescaped file content before highlight.js finishes loading. Authenticated attackers can upload text files containing HTML/JavaScript payloads that execute in viewers' browsers, enabling API calls such as account changes on the victim's behalf.
出典: CVE.org (CVE Program・cvelistV5) NVD