Go向けウェブアプリフレームワーク「Beego」にXSS脆弱性

Go言語向けウェブアプリケーションフレームワーク「Beego」に脆弱性が明らかとなった。

フォーム表示を行うための関数に、クロスサイトスクリプティング（XSS）の脆弱性「CVE-2025-30223」が明らかとなったもの。同関数を使用し、ユーザーから入力されたデータを処理するすべてのアプリケーションが影響を受けるという。

悪意あるスクリプトによって、セッションの乗っ取りや認証情報の窃取、アカウントの乗っ取りなどにつながるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.3」、重要度は「クリティカル（Critical）」とレーティングされており、実証コードも公開されている。

脆弱性は現地時間3月30日にリリースされた「同2.3.6」で修正された。同バージョンでは、シンボリックリンク攻撃が可能となる脆弱性「CVE-2021-27116」「CVE-2021-27117」についても対処されている。

「CVE-2025-30223」は、「同1.12.14」および以前のバージョンについても影響を受けるが、同ブランチのアップデートは未提供となっており注意が必要となる。

（Security NEXT - 2025/04/01 ）ツイート