判定
- 現在の判定
- Matched（該当）
- 攻撃条件
- 満たさない（AV・PR・UI がすべて N か）
- 攻撃能力
- 不明（RCE・認証回避・シェル取得・root 取得のいずれか）
- 根拠
- AV:L / PR:N / UI:R（CNA・CVSS 3.1） ／ 該当する攻撃能力なし
解説
- 概要
- Text Widget の内容がサニタイズされずに dangerouslySetInnerHTML で描画されるため、スクリプト実行可能なイベントハンドラーを含むマークアップが実行されます。
- 影響
- ウィジェット表示時にローカルな self-XSS が発生します。現行アーキテクチャでは認証トークン窃取、アカウント乗っ取り、バックエンドデータベースへのアクセスは該当しません。
- 対象
- Outerbase Studio 0.10.2 以下。
- 対策
- 修正版はありません（レビュー時点で固定リリースなし）。
- 判定
- AV:L / PR:N / UI:R（CNA・CVSS 3.1） ／ 該当する攻撃能力なし
CVSS 評価
| 出所 | 版 | AV / PR / UI | ベクトル | 出所側の更新日時 |
|---|---|---|---|---|
| CNA（採用） | 3.1 | AV:L / PR:N / UI:R | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N | 2026-09-15 23:36 |
攻撃能力（AI 判定）
| RCE | 非該当 |
| 認証回避 | 不明 |
| シェル取得 | 非該当 |
| root 取得 | 非該当 |
根拠
-
RCE ・ CNA の説明文
so the impact is limited to local self-XSS.
-
シェル取得 ・ CNA の説明文
TextComponent in src/components/chart/index.tsx renders unsanitized Text Widget content through dangerouslySetInnerHTML, allowing injected markup with script-capable event handlers to execute when the widget is displayed.
-
root 取得 ・ CNA の説明文
so the impact is limited to local self-XSS.
モデル gpt-6-luna ・ プロンプト 2026-10-10 ・ 2026-10-13 05:54 ・ 入力 SHA-256 0bb42e964d18
一致した監視対象製品
-
PostgreSQL — 説明文で一致 （AI の判定: 影響を受けるか 非該当）
Outerbase Studio is a lightweight browser-based database GUI supporting PostgreSQL, MySQL, and SQLite. In version 0.10.2 and earlier, TextComponent in src/components/chart/index.tsx renders unsanitized Text Widget content through dangerouslySetInnerHTML, allowing injected markup with script-capable event handlers to execute when the widget is displayed. Outerbase Cloud and its backend services were discontinued in 2025, and the current architecture uses local browser dashboard storage, so the impact is limited to local self-XSS. Authentication token theft, account takeover, and backend database access are not applicable to the current architecture. No fixed release is available as of this review.
変更履歴
-
2026-09-16 00:04
- Matched（該当） と判定した
→ Matched（該当）