LIFF SDKのXSS脆弱性：LINEミニアプリの更新と11月の旧版制限に備える

LINEヤフーが10月20日に詳細を公開し、JVNは22日に掲載したCVE-2026-112148は、DOMベースのクロスサイトスクリプティング（XSS）です。修正の入った2.31.1自体は9月30日の公開で、10月22日に初めて修正版が出たという話ではありません。公式リリースノート

LIFFはLINEと連携するWebアプリを作るための仕組みです。開発元の説明では、影響するアプリの細工されたURLを外部ブラウザーで開くと、そのアプリの配信元で任意のJavaScriptが実行される可能性があります。JavaScriptから読める認証トークンやデータの流出、利用者のセッションを使った不正操作が想定されています。開発元の勧告

DOMは、ブラウザーがページの要素を扱うための構造です。今回の種類のXSSは、ブラウザー内の処理が入力を安全に扱えず、データを実行するコードへ変えてしまう問題と捉えると分かりやすいでしょう。「LINEの全ユーザーの情報が流出した」という発表ではありません。確認した資料で実被害の発生は確認できていません。

CVSSの版が違う値を順位付けのように比較しません。点数が中程度でも、会員情報や注文を扱うアプリなら、実際のデータと権限に応じた優先度が必要です。

これは開発元が示す修正方法に沿う整理です。キャッシュが古いSDKやバンドルを保持する場合は、配信時にそのキャッシュも更新します。ステージングだけ直して本番を忘れる、複数のキャンペーンページの一つだけ直す、といった取りこぼしを避けます。

10月20日の公式案内とリリースノートは、2.20.0〜2.31.0の利用を11月24日頃に制限する予定としています。「頃」は確定した時刻ではありません。また、その日までは安全という猶予期間でもありません。セキュリティ対応を先に済ませ、制限による業務停止も避ける、という順序です。

1. 1社内台帳を不用意に外部共有せず、アプリ名・担当者・導入方法・本番URLを記録する。LIFF IDは通常のURLにも含まれ、秘密の認証情報とは区別する。
2. 2HTML、package.json、lockfile、自己配信ファイルを読み取り専用で照合する。
3. 3修正版を反映し、通常のログイン・画面遷移・会員機能など自分の業務フローを確認する。
4. 4LINE内と外部ブラウザーの両方で通常操作を確認し、古いキャッシュを含む配信経路を点検する。
5. 5不審なURL利用やセッション悪用が疑われる場合はログを保全し、影響調査と必要な失効対応を運営担当で判断する。

CSPなどのブラウザー側の防御を追加する提案はできますが、今回の修正版適用を置き換える公式の万能回避策ではありません。利用者は不審なリンクを避け、必要な操作を正規の入口から行います。SDKそのものの更新責任はアプリを配信する事業者にあります。

以下は編集部が作成した棚卸し用の指示文です。LLMの回答は安全性の保証にはなりません。未確認項目を残し、担当者が公式資料と実際の稼働状態を照合してください。

点検指示文をダウンロード。基本の進め方は脆弱性のトリアージも参照してください。

確認日：2026年10月22日。公開された一次資料を確認した解説であり、編集部がこの脆弱性の攻撃やパッチ適用を実環境で再現したものではありません。手順のうち優先順位・台帳・回帰確認は編集上の提案です。