okinawan_eats

LINE Developers ニュース（2026/10/20, 10/22 更新）で LIFF SDK v2.20.0〜v2.31.0 の XSS 脆弱性（CVE-2026-112148）が公表された。
https://developers.line.biz/ja/news/2026/10/20/liff-sdk-issue/

h3. 影響

• 不正な URL から外部ブラウザ（エンドポイント URL を LINE 内ブラウザで開いた場合も含む）で LIFF アプリを開くと、アプリのドメイン上で任意の JS が実行され、アクセストークン等が窃取されるおそれ。
• 2026年11月24日頃（前倒しの可能性あり）に旧バージョンの利用制限が実施され、外部ブラウザで LINE ログイン等が動作しなくなる可能性。

h3. 現状

• config/importmap.rb で @line/liff および @liff/* を v2.29.0 で pin（vendor/javascript に vendoring）→ 影響対象。CDN エッジパスではないため自動更新されない。

h3. 対応

• bin/importmap pin @line/[email protected] で LIFF SDK 一式を v2.31.2 に更新する。
• v2.31.2 の仕様変更（LIFF ブラウザでクエリパラメータ値中の ? を & に置換しなくなった）の影響有無を確認する。
• 本番デプロイまで行う。