LIFF SDKのXSS脆弱性と旧バージョンの利用制限

LINE Developersセキュリティ期限 2026年11月24日

LIFF SDKの旧バージョンでXSS脆弱性が確認されたため、対象バージョンの利用が制限される予定です。

必要な対応

CDN固定パスやnpmパッケージ（@line/liff）でLIFF v2.20.0からv2.31.0を利用している場合は、速やかにLIFF v2.31.1以降（最新版はv2.31.2）へアップデートしてください。

変更点

  • LIFF v2.20.0からv2.31.0にクロスサイトスクリプティングの脆弱性（CVE-2026-112148）が確認された
  • 不正なURLから外部ブラウザやLINE内ブラウザでエンドポイントURLを開くと任意のJavaScriptが実行される可能性がある
  • 2026年11月24日頃にLIFF v2.20.0からv2.31.0の利用制限が実施される予定で、前倒しされる場合もある
  • 利用制限後は旧バージョンのLIFFアプリやLINEミニアプリを外部ブラウザで開くとLINEログインなどが動作しなくなる可能性がある
  • CDNエッジパス（https://static.line-scdn.net/liff/edge/2/sdk.js）を利用している場合は自動でv2.31.2に更新されるため追加対応は不要

影響範囲

LIFF v2.20.0 〜 v2.31.0@line/liffhttps://static.line-scdn.net/liff/edge/2/sdk.jshttps://static.line-scdn.net/liff/edge/versions/2.31.2/sdk.jsCVE-2026-112148

公式ページを開く

この記事は Release Radar が独自に要約したもので、各社の公式発表ではありません。正確な内容は公式ページをお読みください。

その他の更新