Stage File Proxy - Critical - Cross-site scripting - SA-CONTRIB-2026-286

2026-10-29

Critical

拡張モジュール

日本時間2026/10/29、Stage File Proxyにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。

●プロジェクト　： Stage File Proxy
●投稿日　：2026/10/29 JST
●セキュリティリスク　：Critical
●脆弱性　：Cross-site scripting
●対象バージョン　： <3.1.7 || >=4.0.0 <4.0.1

==概要==

このモジュールは、本番環境のファイルを開発サーバー上でオンデマンドに取得するための、汎用的な仕組みを提供します。本番サイトでの使用は想定されていません。

このモジュールでは、フォールバックでファイルを取得する際に、ファイルのURLに悪意のあるコンテンツが含まれていないかの確認が不十分であるため、クロスサイトスクリプティングの脆弱性があります。

この脆弱性は、この開発用モジュールが攻撃対象のサイトで有効化されており、かつ攻撃者がモジュールに設定された「origin」サーバーに悪意のあるファイルをアップロードできる場合にのみ影響します。

最新バージョンをインストールしてください。

Stage File Proxyモジュールを利用している場合は Stage File Proxy 4.0.1 または Stage File Proxy 3.1.7 にアップデートしてください。