Krpano 360° の脆弱性 CVE-2020-24901 を悪用：検索結果を操作する大規模な XSS キャンペーン

日本でも使われてて脆弱性アプデ済み…は2025/2のことなのか🤔

検索上位の信頼できるサイトでも、埋め込んだ360度ビューアの設定がXSSの入口になる。2025年のKrpano事例では、クエリを設定へ渡す機能が悪用された。自社コードの更新だけで保守完了とは言えない。

「このキャンペーンが発覚したのは、予期しないアダルト・コンテンツの検索結果が、有名大学のドメインで表示されたときである。そのサイトは Krpano フレームワークをバーチャル・ツアーに使用しており」

パノラマビューを埋め込むライブラリのXSSを使ってSEOして引っ掛けるURLへ転送と。これはコーディングエージェント以前に開発された攻撃手法。こういうの色々使ってやってくるのだな。

パッチがリリースされていたにもかかわらず 350件を超える Web サイトが侵害され、スパム広告が拡散されたという、このインシデントは、セキュリティ・パッチを迅速に適用することの重要性を物語っていると感じます