DeepL Chrome拡張機能のクロスサイトスクリプティングの脆弱性
JVNの2026年4月22日の公表によると、DeepL Chrome拡張機能のv1.22.0からv.1.23.0までに、クロスサイトスクリプティングの脆弱性（CVE-2026-40451）が存在する［2］。窓の杜は4月23日の記事で、開発元が対策を施したv1.24.0をすでに提供していると報じた［5］。
脆弱性の内容
JVNは想定される影響として、ユーザのWebブラウザ上で任意のスクリプトが実行されたり、ユーザが閲覧中のWebページに不正なHTMLが挿入されたりする可能性を挙げた［2］。
Security NEXTの記事によると、細工されたコンテンツなどを処理した際に、利用者のブラウザ上で任意のスクリプトが実行されるおそれがある［6］。
| 項目 | 値 | 資料 |
|---|---|---|
| 脆弱性の種類 | クロスサイトスクリプティング（CWE-79） | ［2］ |
| CVSS v4.0 | 基本値5.1（JVN）、MEDIUM（CVE記録） | ［2、3］ |
| CVSS v3.0 | 基本値6.1（JVN）、MEDIUM（CVE記録） | ［2、3］ |
| 悪用の状況 | CISAがCVE記録に加えたSSVCの評価で、Exploitationはnone、Automatableはno、Technical Impactはpartial | ［3］ |
JPCERT/CCは、サイボウズの研究者とGMOサイバーセキュリティ byイエラエの研究者から報告を受け、開発者との調整を行った［2］。前者はJPCERT/CCに、後者は情報セキュリティ早期警戒パートナーシップに基づきIPAに報告した［2］。
時系列
対象の製品と版
DeepLの公式ブログによると、Chrome拡張機能には「書きながら翻訳」「選択したテキストを翻訳」「ページ全体を翻訳」の3通りの使い方がある［7］。JVNは、Web版のDeepLアプリケーションはこの脆弱性の影響を受けないとした［2］。
修正と回避策
JVNは対策方法に、開発者が提供する情報をもとに最新版へアップデートすることを挙げた［2］。DeepLは、GitHubのリポジトリにこの脆弱性のセキュリティアドバイザリを掲載した［1］。
窓の杜の記事によると、Chromeの拡張機能は自動でアップデートされ、執筆時現在の最新版はv1.84.0だった［5］。
未公表の事項
- 脆弱性の発生箇所と、スクリプトの実行に至る入力の経路
- 影響を受けた利用者の数と、v1.22.0からv.1.23.0までの配布期間
- 修正版v1.24.0の提供日
- 開発元による悪用の有無の説明
出典
当事者
- ［1］DeepL SE『Cross-Site Scripting (XSS) in DeepL Chrome Extension（GHSA-4x2r-q3p9-xhx4）』（公開日不明、保存記録のみ） 保存記録
公的機関
- ［2］一般社団法人JPCERTコーディネーションセンター・独立行政法人情報処理推進機構『JVN#37524771: DeepL Chrome拡張機能におけるクロスサイトスクリプティングの脆弱性』（2026年4月22日公開）
- ［3］CVE Program『CVE-2026-40451』（2026年4月22日公開）
- ［4］National Institute of Standards and Technology『CVE-2026-40451』（2026年4月22日公開、2026年10月26日更新）
報道機関
- ［5］株式会社インプレス『AI翻訳サービス「DeepL」の公式Chrome拡張にクロスサイトスクリプティングの脆弱性』（2026年4月23日公開）
- ［6］株式会社ニュースガイア『「DeepL」のChrome向け拡張機能にXSS脆弱性』（2026年4月27日公開）
背景資料
- ［7］DeepL SE『DeepLのChrome拡張機能でウェブサイトを翻訳』（2022年5月23日公開、2026年10月22日更新）
更新記録
- 2026年4月26日：公開した。
- 2026年4月27日：Security NEXTの4月27日の記事（出典6）を加え、「脆弱性の内容」を改めた。
- 2026年10月22日：DeepL SEの公式ブログの記事の10月22日の更新（出典7）を加え、「時系列」と「対象の製品と版」を改めた。
- 2026年10月26日：NISTのNVDの記録の10月26日の更新（出典4）を加え、「時系列」を改めた。