参照URLの脆弱性詳細を確認できないため、CVE番号、CVSSスコア、影響を受けるバージョン、攻撃条件および修正情報の正確な補完は現時点で不明である。確認できる範囲では、Balbooa Formsにクロスサイトスクリプティング（XSS）の脆弱性が報告されている。
脆弱性の詳細
Balbooa Formsには、Webページに入力されたデータが適切に処理されないことにより、利用者のブラウザ上で任意のスクリプトが実行される可能性があるクロスサイトスクリプティング（XSS）の脆弱性が存在する。
本脆弱性の詳細な発生箇所、攻撃手法、認証の要否、攻撃者が事前に必要とする権限、利用者による操作の要否および影響範囲は、参照URLの詳細情報を現時点で確認できないため不明である。CVE番号およびCVSSスコアも、現時点で確認できない。
XSSが悪用された場合、攻撃者が細工した入力値やページを介して、閲覧者のブラウザ上でスクリプトを実行し、ページ内容の改ざん、利用者の操作誘導、認証情報やセッション情報の窃取などにつながる可能性がある。ただし、本件で実際に確認された影響の範囲および攻撃の成立条件は現時点で不明である。
影響を受ける製品・バージョン
- Balbooa Forms（影響を受ける具体的なバージョン範囲は現時点で不明）
推奨される対策
- Balbooaまたは製品提供元が案内する修正版および更新情報を確認し、影響を受けるバージョンを使用している場合は、検証後に最新版または修正版へ更新する。
- 修正情報や影響範囲が確認できるまで、Formsの公開範囲を限定し、必要に応じて該当フォームを一時的に無効化する。
- サイト運用者、制作会社および保守ベンダーに対し、Balbooa Formsの利用有無、設置箇所、導入バージョンおよび更新可否を確認する。
- 更新後は、フォームの入力画面、確認画面および完了画面で、入力値が意図せずHTMLやスクリプトとして実行されないことを確認する。
日本の中小企業が今すぐ取るべき行動
- 最優先：自社サイトでBalbooa Formsを利用しているか棚卸しする（問い合わせ、資料請求、予約、応募などのフォームを確認する）。
- 次に：導入バージョンと設置箇所を特定し、影響を受けるバージョンに該当するかを提供元または保守会社へ確認する。
- 対応計画：修正情報の確認と更新日程を決める（検証、本番適用、適用後の動作確認の担当者と期限を設定する）。
- 暫定措置：外部公開フォームの露出を下げる（公開停止、アクセス制限、機能の一時無効化などを業務影響と合わせて検討する）。
- 事後確認：関連ログと改ざんの兆候を点検する（不審な入力、急増したアクセス、想定外の画面遷移および利用者からの異常報告を確認する）。
CSRIからの現場アドバイス
フォームなどの入力機能では、入力値が画面に表示される際のエスケープ処理が不十分だと、XSSにつながる可能性がある。脆弱性情報を受け取った場合は、制作会社や保守ベンダーに任せきりにせず、利用製品、バージョン、設置箇所および更新計画を自社でも把握する必要がある。
修正情報が確認できるまで、対象フォームの公開範囲を限定し、管理画面や関連ページを含めた不審な操作・入力の有無を確認する。攻撃手法や実際の被害について確認できない事項は、推測で補わず、詳細は現時点で不明として扱う。
まずBalbooa Formsが使われているページと導入バージョンを確認し、提供元が案内する影響範囲と照合する。次に、修正版への更新可否と実施日程を担当者またはベンダーに確認し、更新までの間は該当フォームの公開範囲を限定できないか検討する。