サイバーセキュリティ脆弱性公表・修正版提供

SHIRASAGIにおける複数の脆弱性

SHIRASAGI Projectが提供するSHIRASAGIにおいて、クロスサイトスクリプティング（CVE-2026-81635）および認可処理の回避（CVE-2026-82582）の複数の脆弱性が存在することが公表されました。影響を受けるバージョンを利用中の場合、任意のスクリプト実行やファイル不正取得のおそれがあります。開発者が提供する情報をもとに、最新版のv1.21.0へアップデートを実施する必要があります。

この発表の要点

SHIRASAGIにクロスサイトスクリプティング（CVE-2026-81635）および認可処理の回避（CVE-2026-82582）の脆弱性が存在します。
CVE-2026-81635はv1.14.0からv1.20.2まで、CVE-2026-82582はv1.20.2およびそれ以前が対象です。
修正バージョンである「SHIRASAGI v1.21.0」へのアップデートが推奨されています。

企業・自治体への影響

対象製品を利用している組織において、ウェブブラウザ上での任意スクリプト実行や、グループウェア共有ファイルの不正取得などのセキュリティリスクが生じます。情シス部門やWeb管理部門による影響範囲の確認が必要です。

対応すべきこと

自社システムにおけるSHIRASAGIの導入有無およびバージョンを確認する
対象バージョンに該当する場合は速やかにv1.21.0へアップデートを実施する
JPCERT/CCやJVNの公式情報を関係部門へ共有する

対象部門： 総務法務情シス広報

対応期限：速やかに確認

基本データ

企業・団体	SHIRASAGI Project
業界	IT・ソフトウェア
発表日	2026-09-10
分類	サイバーセキュリティ

発表された内容

公開日：2026/09/10 最終更新日：2026/09/10

JVN#37476837
SHIRASAGIにおける複数の脆弱性

SHIRASAGI Projectが提供するSHIRASAGIには、複数の脆弱性が存在します。

CVE-2026-81635

SHIRASAGI v1.14.0からv1.20.2まで

CVE-2026-82582

SHIRASAGI v1.20.2およびそれ以前

SHIRASAGI Projectが提供するSHIRASAGIには、次の複数の脆弱性が存在します。

クロスサイトスクリプティング（CWE-79）

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N 基本値 5.1
CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N 基本値 5.4
CVE-2026-81635

認可処理の回避（CWE-639）

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N 基本値 5.3
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N 基本値 4.3
CVE-2026-82582

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

当該製品を使用しているサイトにアクセスしたユーザのウェブブラウザ上で、任意のスクリプトが実行される（CVE-2026-81635）
グループウェアの共有ファイルにおいて、本来アクセス権を持たないユーザによってファイルが取得される（CVE-2026-82582）

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。
本脆弱性は次のバージョンで修正されています。

SHIRASAGI v1.21.0

ベンダ

リンク

SHIRASAGI Project

SHIRASAGI におけるクロスサイト・スクリプティング脆弱性と認可処理の回避の脆弱性

CVE-2026-81635
この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。
報告者：東京電機大学理工学部遠隔制御研究室外崎青波氏

CVE-2026-82582
この脆弱性情報は、下記の方が開発者とIPAに報告し、JPCERT/CCが情報セキュリティ早期警戒パートナーシップに基づき開発者との調整を行いました。
報告者：野口晋義氏

JPCERT 緊急報告

JPCERT REPORT

CERT Advisory

CPNI Advisory

TRnotes

CVE

CVE-2026-81635

CVE-2026-82582

JVN iPedia

JVNDB-2026-000130

出典: jvn@jvn.jp
URL: https://jvn.jp/jp/JVN37476837/

時系列

2026-09-10　SHIRASAGIにおける複数の脆弱情報（JVN#37476837）が公開された

この事例から確認すべきポイント

本事例は、オープンソース等のWebプラットフォーム製品において複数の脆弱性が発見され、JVN等を通じて公表されたケースです。クロスサイトスクリプティングや認可処理の回避といった脆弱性を放置した場合、意図しないスクリプトの実行や権限外のファイル取得といった重大なセキュリティインシデントに発展するおそれがあります。企業・組織の情シス部門や開発部門においては、自社システムでの該当製品・バージョンの利用有無を速やかに棚卸しし、示された修正バージョンへのアップデートを確実に実施することが求められます。

公式出典

jvn@jvn.jp

更新履歴

公開日: 2026-09-10