「ConnectWise PSA」にXSSなど複数脆弱性 - 修正版が公開

ConnectWiseが提供する業務管理プラットフォーム「ConnectWise PSA」に複数の脆弱性が明らかとなった。脆弱性を修正したアップデートを提供している。

「ConnectWise PSA」は、ITサービス事業者やマネージドサービスプロバイダ（MSP）向けのプロフェッショナルサービスオートメーション製品。現地時間2026年1月15日にセキュリティアドバイザリを公開し、2件の脆弱性「CVE-2026-0695」「CVE-2026-0696」について明らかにしたもの。

「CVE-2026-0695」は、一部コンテンツを出力する際にエンコードが実施されないことに起因するクロスサイトスクリプティング（XSS）の脆弱性。タイムエントリ監査証跡に保存されたノートを表示する際に影響があり、PSAのウェブクライアントやデスクトップ環境でスクリプトが実行されるおそれがある。

あわせて特定のセッションCookieにおいて「HttpOnly」属性が付与されていない脆弱性「CVE-2026-0696」が確認された。クライアント側スクリプトによってCookie値が窃取されるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは、「CVE-2026-0695」が「8.7」、「CVE-2026-0696」が「6.5」と評価されている。重要度については「重要（Important）」とした。

同社は、同日リリースした「ConnectWise PSA 2026.1」にて脆弱性の修正を実施。適用優先度については悪用されるリスクが高い「中（Moderate）」としており、数日以内を目安にできるだけ早急にアップデートを実施するよう求めている。

（Security NEXT - 2026/01/19 ）ツイート

「ConnectWise PSA」にXSSなど複数脆弱性 - 修正版が公開

関連リンク

PR

関連記事