JVN#05508012: EXIF Viewer Classicにおけるクロスサイトスクリプティングの脆弱性

Rodrigue（旧Kakera）が提供するEXIF Viewer Classicには、クロスサイトスクリプティングの脆弱性が存在します。

EXIF Viewer Classic 2.4.0およびそれ以前のバージョン

Rodrigue（旧Kakera）が提供するEXIF Viewer ClassicはGoogle Chrome用拡張機能です。
EXIF Viewer Classicには、EXIFメタデータの取り扱い不備に起因するクロスサイトスクリプティング（CWE-79）の脆弱性が存在します。

本脆弱性はバージョン2.3.2および2.4.0に対して報告されました。開発者によると、その後のバージョンでは全体的にコードを改訂しており、現在の最新バージョン3.0.1では本脆弱性の影響を受けないとのことです。

画像データに含まれる細工されたEXIFメタデータを処理すると、ウェブブラウザ上で任意のスクリプトを実行される可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。

ベンダ	リンク
Rodrigue	EXIF Viewer Classic - Chrome Web Store
	EXIF Viewer

当該ベンダーは「連絡不能開発者一覧」に数年間掲載されていましたが、その後調整が可能となり、本JVNの公表に至ったものです。

CVSS v3 CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

基本値: 6.1

攻撃元区分(AV)	物理 (P)	ローカル (L)	隣接 (A)	ネットワーク (N)
攻撃条件の複雑さ(AC)	高 (H)	低 (L)
必要な特権レベル(PR)	高 (H)	低 (L)	不要 (N)
ユーザ関与レベル(UI)	要 (R)	不要 (N)
スコープ(S)	変更なし (U)	変更あり (C)
機密性への影響(C)	なし (N)	低 (L)	高 (H)
完全性への影響(I)	なし (N)	低 (L)	高 (H)
可用性への影響(A)	なし (N)	低 (L)	高 (H)

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。
報告者：三井物産セキュアディレクション株式会社東内裕二氏
　　　　森田浩平氏

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE	CVE-2025-23362
JVN iPedia	JVNDB-2025-000005

JVN#05508012 EXIF Viewer Classicにおけるクロスサイトスクリプティングの脆弱性

JVN#05508012
EXIF Viewer Classicにおけるクロスサイトスクリプティングの脆弱性