Miniflux Media Proxy vulnerable to Stored Cross-site Scripting due to improper Content-Security-Policy configuration

中 4.8CVE-2025-31483 · GHSA-cq88-842x-2jhp · GO-2025-3591 · 03/04/2025 公開 · 17/06/2026 更新

要点

CVE-2025-31483 は miniflux.app, miniflux.app/v2 に影響する深刻度「中」 (CVSS 4.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.43%（全脆弱性の 37.0% より高い）。
対処：2.2.7 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
miniflux.app Go	`全バージョン`	修正版なし
miniflux.app/v2 Go	`< 2.2.7`	`2.2.7`

概要

Summary

Due to a weak Content Security Policy on the /proxy/* route, an attacker can bypass the CSP of the media proxy and execute cross-site scripting when opening external images in a new tab/window.

Impact

A malicious feed added to Miniflux can execute arbitrary JavaScript in the user's browser when opening external resources, such as proxified images, in a new tab or window.

Mitigation

The CSP for the media proxy has been changed from default-src 'self' to default-src 'none'; form-action 'none'; sandbox;.

Upgrade to Miniflux >= 2.2.7

Credit

RyotaK (GMO Flatt Security Inc.) with takumi-san.ai

NVD の説明

Miniflux is a feed reader. Due to a weak Content Security Policy on the /proxy/* route, an attacker can bypass the CSP of the media proxy and execute cross-site scripting when opening external images in a new tab/window. To mitigate the vulnerability, the CSP for the media proxy has been changed from default-src 'self' to default-src 'none'; form-action 'none'; sandbox;. This vulnerability is fixed in 2.2.7.

参考情報

miniflux/v2 security advisory · WEB
nvd.nist.gov/vuln/detail/CVE-2025-31483 · ADVISORY
miniflux/v2 commit cb695e6 · WEB
miniflux/v2 · PACKAGE

miniflux.app のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

miniflux.app

全バージョン

修正版なし

miniflux.app/v2

< 2.2.7

2.2.7

概要