CVE-2022-24799 [重大] | XSS（Wire-Webapp）

wire-webapp is the web application interface for the wire messaging service. Insufficient escaping in markdown “code highlighting” in the wire-webapp resulted in the possibility of injecting and executing arbitrary HTML code and thus also JavaScript. If a user receives and views such a malicious message, arbitrary code is injected and executed in the context of the victim. This allows the attacker to fully control the user account. Wire-desktop clients that are connected to a vulnerable wire-webapp version are also vulnerable to this attack. The issue has been fixed in wire-webapp 2022-03-30-production.0 and is already deployed on all Wire managed services. On-premise instances of wire-webapp need to be updated to docker tag 2022-03-30-production.0-v0.29.2-0-d144552 or wire-server 2022-03-30 (chart/4.8.0), so that their applications are no longer affected. There are no known workarounds for this issue. ### Patches * The issue has been fixed in wire-webapp **2022-03-30-production.0** and is already deployed on all Wire managed services. * On-premise instances of wire-webapp need to be updated to docker tag **2022-03-30-production.0-v0.29.2-0-d144552** or wire-server **2022-03-30 (chart/4.8.0)**, so that their applications are no longer affected. ### Workarounds * No workarounds known ### For more information If you have any questions or comments about this advisory feel free to email us at [[email protected]](mailto:[email protected]) ### Credits We thank [Posix](https://twitter.com/po6ix) for reporting this vulnerability

#	日付	旧 EPSS スコア	新 EPSS スコア	Δ（新 − 旧）
1	2026-06-15	0.56%	0.92%	+0.37%
2	2025-05-04	0.51%	0.56%	+0.05%
3	2025-04-28	—	0.51%	—

日付

旧 EPSS スコア

新 EPSS スコア

Δ（新 − 旧）

2026-06-15

0.56%

0.92%

+0.37%

2025-05-04

0.51%

0.56%

+0.05%

2025-04-28

—

0.51%

—

ベーススコア	バージョン	深刻度	ベクトル	悪用しやすさ	影響	スコアの出典
9.6	3.1	CRITICAL	`CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H` クリックして展開攻撃ベクター (AV:N) インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。攻撃の複雑さ (AC:L) 攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。必要な権限 (PR:N) 事前のログインや昇格は不要で、匿名アクセスのまま踏み台にしうる。ユーザーの関与 (UI:R) インストールの許可、設定変更、悪意あるファイルの実行など、人の一度の判断がトリガーになる。スコープ (S:C) 脆弱箇所を足がかりに、別コンポーネントや別権限域まで影響が広がりうる。機密性への影響 (C:H) 広範な機微データの読み取りや持ち出しが現実的。完全性への影響 (I:H) 権限の奪取や広範なログ改竄など、システムの信頼根拠を揺るがす改ざんが現実的。可用性への影響 (A:H) 長時間のサービス停止、データ損壊による復旧不能に近い状態など、利用者に著しい不便を与えうる。	2.8	6.0	[email protected]
6.1	3.1	MEDIUM	`CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N` クリックして展開攻撃ベクター (AV:N) インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。攻撃の複雑さ (AC:L) 攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。必要な権限 (PR:N) 事前のログインや昇格は不要で、匿名アクセスのまま踏み台にしうる。ユーザーの関与 (UI:R) インストールの許可、設定変更、悪意あるファイルの実行など、人の一度の判断がトリガーになる。スコープ (S:C) 脆弱箇所を足がかりに、別コンポーネントや別権限域まで影響が広がりうる。機密性への影響 (C:L) 一部のデータや属性が漏えいしうるが、全件一括流出といった規模には至らない。完全性への影響 (I:L) レコードの一部書き換えや設定の歪みなど、限定的だが検知・復旧が必要な水準。可用性への影響 (A:N) 業務継続に支障が出るレベルの停止や劣化は想定されない。	2.8	2.7	[email protected]
4.3	2.0	MEDIUM	`AV:N/AC:M/Au:N/C:N/I:P/A:N` クリックして展開アクセス経路 (AV:N) ルーティング可能なネットワーク越しに、遠隔から到達・悪用しうる。アクセスの複雑さ (AC:M) 多少の有利条件は要るが、極端なレアケースではない。認証 (AU:N) 認証を経ずに攻撃を完結できる。機密性への影響 (C:N) 機密性は損なわれない。完全性への影響 (I:P) 完全性は部分的に損なわれる。可用性への影響 (A:N) 可用性は損なわれない。	8.6	2.9	[email protected]

ベーススコア

バージョン

深刻度

ベクトル

悪用しやすさ

影響

スコアの出典

9.6

3.1

CRITICAL

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H クリックして展開

攻撃ベクター (AV:N): インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。
攻撃の複雑さ (AC:L): 攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。
必要な権限 (PR:N): 事前のログインや昇格は不要で、匿名アクセスのまま踏み台にしうる。
ユーザーの関与 (UI:R): インストールの許可、設定変更、悪意あるファイルの実行など、人の一度の判断がトリガーになる。
スコープ (S:C): 脆弱箇所を足がかりに、別コンポーネントや別権限域まで影響が広がりうる。
機密性への影響 (C:H): 広範な機微データの読み取りや持ち出しが現実的。
完全性への影響 (I:H): 権限の奪取や広範なログ改竄など、システムの信頼根拠を揺るがす改ざんが現実的。
可用性への影響 (A:H): 長時間のサービス停止、データ損壊による復旧不能に近い状態など、利用者に著しい不便を与えうる。

2.8

6.0

[email protected]

6.1

3.1

MEDIUM

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N クリックして展開

攻撃ベクター (AV:N): インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。
攻撃の複雑さ (AC:L): 攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。
必要な権限 (PR:N): 事前のログインや昇格は不要で、匿名アクセスのまま踏み台にしうる。
ユーザーの関与 (UI:R): インストールの許可、設定変更、悪意あるファイルの実行など、人の一度の判断がトリガーになる。
スコープ (S:C): 脆弱箇所を足がかりに、別コンポーネントや別権限域まで影響が広がりうる。
機密性への影響 (C:L): 一部のデータや属性が漏えいしうるが、全件一括流出といった規模には至らない。
完全性への影響 (I:L): レコードの一部書き換えや設定の歪みなど、限定的だが検知・復旧が必要な水準。
可用性への影響 (A:N): 業務継続に支障が出るレベルの停止や劣化は想定されない。

2.8

2.7

[email protected]

4.3

2.0

MEDIUM

AV:N/AC:M/Au:N/C:N/I:P/A:N クリックして展開

アクセス経路 (AV:N): ルーティング可能なネットワーク越しに、遠隔から到達・悪用しうる。
アクセスの複雑さ (AC:M): 多少の有利条件は要るが、極端なレアケースではない。
認証 (AU:N): 認証を経ずに攻撃を完結できる。
機密性への影響 (C:N): 機密性は損なわれない。
完全性への影響 (I:P): 完全性は部分的に損なわれる。
可用性への影響 (A:N): 可用性は損なわれない。

8.6

2.9

[email protected]

CVE-2022-24799 の影響を受けるソフトウェア／構成

ベンダー	製品	バージョン	生の CPE
wire	wire-webapp	2016-07-29-17-00	cpe:2.3:a:wire:wire-webapp:2016-07-29-17-00:::::::*
wire	wire-webapp	2016-08-04-15-44	cpe:2.3:a:wire:wire-webapp:2016-08-04-15-44:::::::*
wire	wire-webapp	2016-08-23-09-31	cpe:2.3:a:wire:wire-webapp:2016-08-23-09-31:::::::*
wire	wire-webapp	2016-08-24-10-10	cpe:2.3:a:wire:wire-webapp:2016-08-24-10-10:::::::*
wire	wire-webapp	2016-08-29-14-54	cpe:2.3:a:wire:wire-webapp:2016-08-29-14-54:::::::*
wire	wire-webapp	2016-09-08-15-38	cpe:2.3:a:wire:wire-webapp:2016-09-08-15-38:::::::*
wire	wire-webapp	2016-09-19-14-01	cpe:2.3:a:wire:wire-webapp:2016-09-19-14-01:::::::*
wire	wire-webapp	2016-09-28-14-58	cpe:2.3:a:wire:wire-webapp:2016-09-28-14-58:::::::*
wire	wire-webapp	2016-10-11-15-34	cpe:2.3:a:wire:wire-webapp:2016-10-11-15-34:::::::*
wire	wire-webapp	2016-10-18-08-10	cpe:2.3:a:wire:wire-webapp:2016-10-18-08-10:::::::*
wire	wire-webapp	2016-10-25-08-17	cpe:2.3:a:wire:wire-webapp:2016-10-25-08-17:::::::*
wire	wire-webapp	2016-10-26-18-58	cpe:2.3:a:wire:wire-webapp:2016-10-26-18-58:::::::*
wire	wire-webapp	2016-11-03-16-09	cpe:2.3:a:wire:wire-webapp:2016-11-03-16-09:::::::*
wire	wire-webapp	2016-11-08-15-06	cpe:2.3:a:wire:wire-webapp:2016-11-08-15-06:::::::*
wire	wire-webapp	2016-12-01-12-57	cpe:2.3:a:wire:wire-webapp:2016-12-01-12-57:::::::*
wire	wire-webapp	2016-12-13-15-12	cpe:2.3:a:wire:wire-webapp:2016-12-13-15-12:::::::*
wire	wire-webapp	2017-01-23-12-12	cpe:2.3:a:wire:wire-webapp:2017-01-23-12-12:::::::*
wire	wire-webapp	2017-02-01-14-49	cpe:2.3:a:wire:wire-webapp:2017-02-01-14-49:::::::*
wire	wire-webapp	2017-02-17-10-10	cpe:2.3:a:wire:wire-webapp:2017-02-17-10-10:::::::*
wire	wire-webapp	2017-02-24-13-06	cpe:2.3:a:wire:wire-webapp:2017-02-24-13-06:::::::*
wire	wire-webapp	2017-03-08-17-32	cpe:2.3:a:wire:wire-webapp:2017-03-08-17-32:::::::*
wire	wire-webapp	2017-03-14-15-05	cpe:2.3:a:wire:wire-webapp:2017-03-14-15-05:::::::*
wire	wire-webapp	2017-03-21-11-00	cpe:2.3:a:wire:wire-webapp:2017-03-21-11-00:::::::*
wire	wire-webapp	2017-03-27-17-10	cpe:2.3:a:wire:wire-webapp:2017-03-27-17-10:::::::*
wire	wire-webapp	2017-03-28-14-23	cpe:2.3:a:wire:wire-webapp:2017-03-28-14-23:::::::*
wire	wire-webapp	2017-04-05-16-58	cpe:2.3:a:wire:wire-webapp:2017-04-05-16-58:::::::*
wire	wire-webapp	2017-04-07-09-42	cpe:2.3:a:wire:wire-webapp:2017-04-07-09-42:::::::*
wire	wire-webapp	2017-04-19-12-31	cpe:2.3:a:wire:wire-webapp:2017-04-19-12-31:::::::*
wire	wire-webapp	2017-04-20-15-54	cpe:2.3:a:wire:wire-webapp:2017-04-20-15-54:::::::*
wire	wire-webapp	2017-05-03-10-29	cpe:2.3:a:wire:wire-webapp:2017-05-03-10-29:::::::*
wire	wire-webapp	2017-05-19-16-10	cpe:2.3:a:wire:wire-webapp:2017-05-19-16-10:::::::*
wire	wire-webapp	2017-05-26-08-16	cpe:2.3:a:wire:wire-webapp:2017-05-26-08-16:::::::*
wire	wire-webapp	2017-05-26-12-03	cpe:2.3:a:wire:wire-webapp:2017-05-26-12-03:::::::*
wire	wire-webapp	2017-06-01-10-02	cpe:2.3:a:wire:wire-webapp:2017-06-01-10-02:::::::*
wire	wire-webapp	2017-06-07-15-03	cpe:2.3:a:wire:wire-webapp:2017-06-07-15-03:::::::*
wire	wire-webapp	2017-06-07-18-05	cpe:2.3:a:wire:wire-webapp:2017-06-07-18-05:::::::*
wire	wire-webapp	2017-06-22-12-18	cpe:2.3:a:wire:wire-webapp:2017-06-22-12-18:::::::*
wire	wire-webapp	2017-06-28-15-13	cpe:2.3:a:wire:wire-webapp:2017-06-28-15-13:::::::*
wire	wire-webapp	2017-07-06-12-44	cpe:2.3:a:wire:wire-webapp:2017-07-06-12-44:::::::*
wire	wire-webapp	2017-07-06-15-48	cpe:2.3:a:wire:wire-webapp:2017-07-06-15-48:::::::*
wire	wire-webapp	2017-07-18-12-50	cpe:2.3:a:wire:wire-webapp:2017-07-18-12-50:::::::*
wire	wire-webapp	2017-08-03-15-19	cpe:2.3:a:wire:wire-webapp:2017-08-03-15-19:::::::*
wire	wire-webapp	2017-08-04-09-04	cpe:2.3:a:wire:wire-webapp:2017-08-04-09-04:::::::*
wire	wire-webapp	2017-08-04-15-01	cpe:2.3:a:wire:wire-webapp:2017-08-04-15-01:::::::*
wire	wire-webapp	2017-08-08-15-09	cpe:2.3:a:wire:wire-webapp:2017-08-08-15-09:::::::*
wire	wire-webapp	2017-08-24-10-57	cpe:2.3:a:wire:wire-webapp:2017-08-24-10-57:::::::*
wire	wire-webapp	2017-08-31-14-21	cpe:2.3:a:wire:wire-webapp:2017-08-31-14-21:::::::*
wire	wire-webapp	2017-09-26-07-18	cpe:2.3:a:wire:wire-webapp:2017-09-26-07-18:::::::*
wire	wire-webapp	2017-09-26-13-00	cpe:2.3:a:wire:wire-webapp:2017-09-26-13-00:::::::*
wire	wire-webapp	2017-10-09-08-42	cpe:2.3:a:wire:wire-webapp:2017-10-09-08-42:::::::*
wire	wire-webapp	2017-10-19-10-45	cpe:2.3:a:wire:wire-webapp:2017-10-19-10-45:::::::*
wire	wire-webapp	2017-10-25-07-08	cpe:2.3:a:wire:wire-webapp:2017-10-25-07-08:::::::*
wire	wire-webapp	2017-11-07-08-50	cpe:2.3:a:wire:wire-webapp:2017-11-07-08-50:::::::*
wire	wire-webapp	2017-11-10-10-41	cpe:2.3:a:wire:wire-webapp:2017-11-10-10-41:::::::*
wire	wire-webapp	2017-12-04-10-23	cpe:2.3:a:wire:wire-webapp:2017-12-04-10-23:::::::*
wire	wire-webapp	2017-12-04-13-34	cpe:2.3:a:wire:wire-webapp:2017-12-04-13-34:::::::*
wire	wire-webapp	2017-12-07-11-13	cpe:2.3:a:wire:wire-webapp:2017-12-07-11-13:::::::*
wire	wire-webapp	2017-12-20-12-48	cpe:2.3:a:wire:wire-webapp:2017-12-20-12-48:::::::*
wire	wire-webapp	2018-01-24-18-11	cpe:2.3:a:wire:wire-webapp:2018-01-24-18-11:::::::*
wire	wire-webapp	2018-02-01-10-26	cpe:2.3:a:wire:wire-webapp:2018-02-01-10-26:::::::*
wire	wire-webapp	2018-02-16-07-54	cpe:2.3:a:wire:wire-webapp:2018-02-16-07-54:::::::*
wire	wire-webapp	2018-03-12-11-41	cpe:2.3:a:wire:wire-webapp:2018-03-12-11-41:::::::*
wire	wire-webapp	2018-04-06-07-28	cpe:2.3:a:wire:wire-webapp:2018-04-06-07-28:::::::*
wire	wire-webapp	2018-04-06-09-44	cpe:2.3:a:wire:wire-webapp:2018-04-06-09-44:::::::*
wire	wire-webapp	2018-04-09-10-16	cpe:2.3:a:wire:wire-webapp:2018-04-09-10-16:::::::*
wire	wire-webapp	2018-04-12-06-45	cpe:2.3:a:wire:wire-webapp:2018-04-12-06-45:::::::*
wire	wire-webapp	2018-04-12-11-12	cpe:2.3:a:wire:wire-webapp:2018-04-12-11-12:::::::*
wire	wire-webapp	2018-04-12-13-37	cpe:2.3:a:wire:wire-webapp:2018-04-12-13-37:::::::*
wire	wire-webapp	2018-04-24-14-58	cpe:2.3:a:wire:wire-webapp:2018-04-24-14-58:::::::*
wire	wire-webapp	2018-05-04-07-18	cpe:2.3:a:wire:wire-webapp:2018-05-04-07-18:::::::*
wire	wire-webapp	2018-05-24-15-49	cpe:2.3:a:wire:wire-webapp:2018-05-24-15-49:::::::*
wire	wire-webapp	2018-06-19-08-04	cpe:2.3:a:wire:wire-webapp:2018-06-19-08-04:::::::*
wire	wire-webapp	2018-07-03-08-25	cpe:2.3:a:wire:wire-webapp:2018-07-03-08-25:::::::*
wire	wire-webapp	2018-07-16-08-55	cpe:2.3:a:wire:wire-webapp:2018-07-16-08-55:::::::*
wire	wire-webapp	2018-07-16-14-05	cpe:2.3:a:wire:wire-webapp:2018-07-16-14-05:::::::*
wire	wire-webapp	2018-07-26-08-54	cpe:2.3:a:wire:wire-webapp:2018-07-26-08-54:::::::*
wire	wire-webapp	2018-08-06-08-03	cpe:2.3:a:wire:wire-webapp:2018-08-06-08-03:::::::*
wire	wire-webapp	2018-08-22-07-38	cpe:2.3:a:wire:wire-webapp:2018-08-22-07-38:::::::*
wire	wire-webapp	2018-08-31-06-54	cpe:2.3:a:wire:wire-webapp:2018-08-31-06-54:::::::*
wire	wire-webapp	2018-09-07-14-18	cpe:2.3:a:wire:wire-webapp:2018-09-07-14-18:::::::*

CVE-2022-24799 の参考情報

URL	タグ
https://github.com/wireapp/wire-webapp/commit/d14455252a949dc83f36d45e2babbdd9328af2a4	Patch Third Party Advisory
https://github.com/wireapp/wire-webapp/releases/tag/2022-03-30-production.0	Third Party Advisory
https://github.com/wireapp/wire-webapp/security/advisories/GHSA-5568-rfh8-vmhq	Third Party Advisory

URL

タグ

https://github.com/wireapp/wire-webapp/commit/d14455252a949dc83f36d45e2babbdd9328af2a4

Patch Third Party Advisory

https://github.com/wireapp/wire-webapp/releases/tag/2022-03-30-production.0

Third Party Advisory

https://github.com/wireapp/wire-webapp/security/advisories/GHSA-5568-rfh8-vmhq

Third Party Advisory

CVE-2022-24799 | Cross Site Scripting in Wire Webapp

CVE-2022-24799 の EPSS（Exploit Prediction Scoring System）スコア

CVE-2022-24799 の CVSS（Common Vulnerability Scoring System）指標

CVE-2022-24799 の弱点分類（列挙）

CVE-2022-24799 の影響を受けるソフトウェア／構成

CVE-2022-24799 の参考情報