--- title: "INFINITT ULite の CVE-2026-19876 と CVE-2026-19877: ログイン画面の XSS と、共有リンクのパスワード総当たりで医用画像を見られる恐れ（5.0.2.1 BN48 以前・BN50 で修正）" url: https://n-t-p.io/worldsecurity/articles/infinitt-ulite-cve-2026-19876-cve-2026-19877-reflected-xss-share-link-bruteforce lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-19876, CVE-2026-19877 --- # INFINITT ULite の CVE-2026-19876 と CVE-2026-19877: ログイン画面の XSS と、共有リンクのパスワード総当たりで医用画像を見られる恐れ（5.0.2.1 BN48 以前・BN50 で修正） > **TL;DR:** INFINITT ULite 5.0.2.1 BN48 以前で、ログイン・SSO のエラーページの反射型 XSS（CVE-2026-19876・CVSS 6.1）と、共有リンクのパスワードが弱く総当たりを制限しないため認証なしに医用画像を見られる恐れ（CVE-2026-19877・CVSS 7.5）。BN50 で修正。 **要点** - INFINITT-SA-2026-001（2026-11-05）: INFINITT ULite 5.0.2.1_BN48_20260528 以前に 2 件。CVE-2026-19876 はログイン・SSO のエラーページの反射型 XSS（CVSS 6.1・UI:R）。 - CVE-2026-19877 は共有リンクのパスワードが低エントロピーで試行回数も制限されず、認証なしの攻撃者が有効期間内に総当たりして医用画像を見られる恐れ（CVSS 7.5・PR:N）。 - 修正は BN50 以降。INFINITT が保守契約の顧客へ更新を進める。悪用の形跡なしと INFINITT が記載、CISA KEV 掲載なし。severity 案は high（認証不要だが CVSS 9 未満）。 - パスワードの形式・リンクの有効期間・更新前の回避策は未確認。本稿は公開情報の読み取りで、再現はしていない。 医用画像を扱う INFINITT Healthcare の **INFINITT ULite**（5.0.2.1_BN48_20260528 以前）に、2 件の脆弱性が公表されました。INFINITT は 2026-11-05 にセキュリティ情報 **INFINITT-SA-2026-001** を出し、**BN50** で修正したとしています。CVE は **CVE-2026-19876** と **CVE-2026-19877** で、NVD には 2026-11-06 に登録されました（状態は Received）。INFINITT は悪用の形跡はないとしています。 ## 内容 NVD の説明によると、2 件は次のとおりです。 1. **CVE-2026-19876（反射型 XSS）**: ログイン・SSO のエラーページで、リクエストのパラメーターが出力時のエスケープなしにそのまま表示されます。認証なしの攻撃者が細工したリンクを用意し、利用者がそれを開くと、その人のブラウザーで任意の JavaScript が動く恐れがあります。 2. **CVE-2026-19877（共有リンクのパスワード）**: 画像の共有リンクを守るパスワードの強度が低く（エントロピーが小さい）、試行回数の制限もありません。認証なしの攻撃者が、リンクの有効期間内にパスワードを総当たりし、共有された医用画像を見られる恐れがあります。 INFINITT のセキュリティ情報は、技術的な詳細を、更新が広く行き渡るまで意図的に伏せています。そのため、パスワードの桁数や形式、リンクの有効期間など、細部は公表されていません（未確認）。 ## 影響を受ける範囲 - **INFINITT ULite 5.0.2.1_BN48_20260528 以前の 5.0.2.1 系ビルド**。 - 他の INFINITT 製品や、5.0.2.1 より前のバージョンへの影響は、公表文に書かれていません（未確認）。 ## 評価 | 指標 | CVE-2026-19876 | CVE-2026-19877 | |---|---|---| | 種類 | 反射型 XSS（CWE-79） | 総当たり対策の不足・弱いパスワード（CWE-307・CWE-331） | | CVSS v3.1（スイス NCSC 登録） | 6.1（AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N） | 7.5（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N） | | 認証 | 不要（利用者のリンク操作が必要） | 不要 | | EPSS（FIRST、11/6） | 0.0019 | 0.0029 | | CISA KEV | 掲載なし（11/7 確認） | 掲載なし（11/7 確認） | - 2 件のうち重いのは CVE-2026-19877 で、認証なしに患者の画像という重い情報へ届く恐れがあります。一方で CVSS は 9 未満のため、当サイトの基準では **high** を案とします。 - CVSS は、NVD の登録元（スイスの国家サイバーセキュリティセンター）が付けた値です。NVD 自身の評価は、11/7 時点でありません。 ## 修正と回避策 - 修正: **ULite 5.0.2.1 BN50 以降**。 - INFINITT は、保守契約のある顧客の環境へ、INFINITT 自身が更新を進めるとしています。顧客側は、更新の日程を INFINITT と調整するほかに必要な操作はない、という案内です。 - 更新前の回避策は、公表文に書かれていません（未確認）。 ## 利用者が考えられること 1. 自施設の ULite のビルドが BN50 以降かを、INFINITT の担当窓口に確認します。 2. 更新までの間は、ULite の共有リンクを使った画像の受け渡しを控えるか、有効期間を短くできるなら短くします（設定の可否は未確認）。 3. ログイン画面に見覚えのないパラメーター付きのリンクが送られてきても、開かないよう職員に周知します。 4. 共有リンクへのアクセス記録に、同じリンクへの短時間の大量の失敗がないかを確認します。 ## 未確認の点 - 共有リンクのパスワードの形式、リンクの有効期間、総当たりに要する時間。 - 5.0.2.1 BN48 より前のビルドや、他製品への影響。 - 更新前の回避策、BN50 の公開日。 - 悪用の有無（INFINITT は形跡なしと記載。CISA KEV にも掲載なし）。 - 本稿は公開情報の読み取りで、再現はしていません。 - 報告元の企業名は、本稿には載せていません。 ## 出典 - [INFINITT-SA-2026-001 INFINITT ULite Security Update](https://www.infinitt.com/contents/content.php?url=INFINITT-SA-2026-001) — INFINITT Healthcare - [CVE-2026-19876（NVD）](https://nvd.nist.gov/vuln/detail/CVE-2026-19876) — NIST NVD - [CVE-2026-19877（NVD）](https://nvd.nist.gov/vuln/detail/CVE-2026-19877) — NIST NVD - [EPSS（CVE-2026-19876・19877、11/6）](https://api.first.org/data/v1/epss?cve=CVE-2026-19876,CVE-2026-19877) — FIRST - [CISA KEV カタログ（掲載なし）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/infinitt-ulite-cve-2026-19876-cve-2026-19877-reflected-xss-share-link-bruteforce