INFINITT ULite の CVE-2026-19876 と CVE-2026-19877: ログイン画面の XSS と、共有リンクのパスワード総当たりで医用画像を見られる恐れ（5.0.2.1 BN48 以前・BN50 で修正）

医用画像を扱う INFINITT Healthcare の INFINITT ULite（5.0.2.1_BN48_20260528 以前）に、2 件の脆弱性が公表されました。INFINITT は 2026-11-05 にセキュリティ情報 INFINITT-SA-2026-001 を出し、BN50 で修正したとしています。CVE は CVE-2026-19876 と CVE-2026-19877 で、NVD には 2026-11-06 に登録されました（状態は Received）。INFINITT は悪用の形跡はないとしています。

内容

NVD の説明によると、2 件は次のとおりです。

1. CVE-2026-19876（反射型 XSS）: ログイン・SSO のエラーページで、リクエストのパラメーターが出力時のエスケープなしにそのまま表示されます。認証なしの攻撃者が細工したリンクを用意し、利用者がそれを開くと、その人のブラウザーで任意の JavaScript が動く恐れがあります。
2. CVE-2026-19877（共有リンクのパスワード）: 画像の共有リンクを守るパスワードの強度が低く（エントロピーが小さい）、試行回数の制限もありません。認証なしの攻撃者が、リンクの有効期間内にパスワードを総当たりし、共有された医用画像を見られる恐れがあります。

INFINITT のセキュリティ情報は、技術的な詳細を、更新が広く行き渡るまで意図的に伏せています。そのため、パスワードの桁数や形式、リンクの有効期間など、細部は公表されていません（未確認）。

影響を受ける範囲

• INFINITT ULite 5.0.2.1_BN48_20260528 以前の 5.0.2.1 系ビルド。
• 他の INFINITT 製品や、5.0.2.1 より前のバージョンへの影響は、公表文に書かれていません（未確認）。

評価

指標	CVE-2026-19876	CVE-2026-19877
種類	反射型 XSS（CWE-79）	総当たり対策の不足・弱いパスワード（CWE-307・CWE-331）
CVSS v3.1（スイス NCSC 登録）	6.1（AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N）	7.5（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N）
認証	不要（利用者のリンク操作が必要）	不要
EPSS（FIRST、11/6）	0.0019	0.0029
CISA KEV	掲載なし（11/7 確認）	掲載なし（11/7 確認）

• 2 件のうち重いのは CVE-2026-19877 で、認証なしに患者の画像という重い情報へ届く恐れがあります。一方で CVSS は 9 未満のため、当サイトの基準では high を案とします。
• CVSS は、NVD の登録元（スイスの国家サイバーセキュリティセンター）が付けた値です。NVD 自身の評価は、11/7 時点でありません。

修正と回避策

• 修正: ULite 5.0.2.1 BN50 以降。
• INFINITT は、保守契約のある顧客の環境へ、INFINITT 自身が更新を進めるとしています。顧客側は、更新の日程を INFINITT と調整するほかに必要な操作はない、という案内です。
• 更新前の回避策は、公表文に書かれていません（未確認）。

利用者が考えられること

1. 自施設の ULite のビルドが BN50 以降かを、INFINITT の担当窓口に確認します。
2. 更新までの間は、ULite の共有リンクを使った画像の受け渡しを控えるか、有効期間を短くできるなら短くします（設定の可否は未確認）。
3. ログイン画面に見覚えのないパラメーター付きのリンクが送られてきても、開かないよう職員に周知します。
4. 共有リンクへのアクセス記録に、同じリンクへの短時間の大量の失敗がないかを確認します。

未確認の点

• 共有リンクのパスワードの形式、リンクの有効期間、総当たりに要する時間。
• 5.0.2.1 BN48 より前のビルドや、他製品への影響。
• 更新前の回避策、BN50 の公開日。
• 悪用の有無（INFINITT は形跡なしと記載。CISA KEV にも掲載なし）。
• 本稿は公開情報の読み取りで、再現はしていません。
• 報告元の企業名は、本稿には載せていません。