LINEヤフーのLIFF SDKにXSS脆弱性、利用サイトは対象版確認を

JVNは2026年10月22日、LINEヤフー株式会社のLIFF SDKに、クロスサイトスクリプティング(XSS)の脆弱性があると公表しました。対象は2.20.0から2.31.0で、利用サイトの訪問者のブラウザで任意のスクリプトが実行される恐れがあります。修正版の2.31.1はリリース済みで、利用企業はサイト側で使っている版の確認が必要です。

対象は2.20.0から2.31.0、修正版は公開済み

今回公表されたのは、DOMベースのXSS脆弱性です。XSSは、サイトを訪れた人のブラウザで、意図しないスクリプトが実行される問題です。識別番号はCVE-2026-112148です。

深刻度の評価指標であるCVSSの基本値は、v4.0で5.1、v3.1で6.1です。評価方式が異なるため、社内の管理台帳に記録する際は、数値だけでなく方式も併記すると混同を防げます。

JVNは、開発者の情報を確認したうえで最新版へ更新するよう呼びかけています。今回の脆弱性を修正した版は2.31.1です。「修正済みの版が公開されたこと」と「自社サイトへの更新が済んだこと」は分けて管理してください。

この情報は、開発者が利用者への周知を目的としてJPCERT/CCへ報告し、同機関が調整したものです。公表は脆弱性と修正版についての案内であり、自社で被害が発生したことを示すものではありません。

影響する会社・しない会社

• 影響する: LIFF SDK 2.20.0から2.31.0を使うサイトを運営している会社です。情シスだけで判断せず、実際の導入版を開発担当に確認する必要があります。
• 影響する: 委託先が開発・保守するサイトで、上記の対象版を使っている会社です。委託の有無ではなく、利用しているSDKの版で判断してください。
• 影響しない: LIFF SDKを利用していない会社は、今回示された対象には当たりません。LINE関連サービスを使っているという理由だけで、対象と判断しないようにします。
• 影響しない: 修正版のLIFF SDK 2.31.1を利用しているサイトでは、今回の脆弱性は修正済みです。それ以外の版を一括して安全と扱わず、公表された対象範囲と照合してください。

情シスが今日やること

1. 利用の有無と担当者を確認する。 今日の確認では、まず自社サイトの開発担当と保守委託先に、LIFF SDKを使っているサイトの一覧と担当者を求めます。利用していない場合も、その回答を記録します。担当不明のサイトは「対象外」ではなく「未確認」として残してください。
2. サイトごとに実際の版を調べる。 開発担当に、ソースコードの保管場所やSDKの読み込みを指定している箇所で、利用版を確認するよう依頼します。今回の資料には、確認に使う管理画面やメニュー名は書かれていません。画面上の設定だけで判断せず、確認した箇所と版を報告してもらいます。
3. 対象版なら更新担当と日程を決める。 2.20.0から2.31.0が見つかった場合は、開発者の情報を確認し、最新版への更新を依頼します。修正版2.31.1が公開済みであることも伝えます。今日の連絡で作業担当者、更新予定日、動作確認の担当者を決めてください。発表上の更新期限は、今回の資料には書かれていません。
4. 本番反映と確認結果を記録する。 更新後は、実際に公開しているサイトで修正版が使われているかを開発担当に確認してもらいます。サイトの動作確認結果と反映日も受け取り、台帳を更新します。委託先から「対応済み」とだけ回答された場合は、反映した版を追加で確認してください。
5. 事業担当へ対象と対応状況を知らせる。 サイトの運営責任者には、対象サイト、確認した版、更新予定または完了状況を共有します。版が分からない段階では影響を断定せず、未確認事項と次の報告予定を明示します。