Bootstrap3には脆弱性はありますか？

Bootstrap 3 には脆弱性がありますか？

Bootstrap 3 は、広く利用されているフロントエンドフレームワークですが、2021年8月にサポートが終了しました。サポート終了に伴い、新たな脆弱性が見つかっても修正プログラムは提供されません。そのため、Bootstrap 3 を使用し続けることはセキュリティリスクとなります。

Bootstrap 3 のサポート状況

Bootstrap 3 は、以下の通りサポートが終了しています。

公式サポート終了日: 2021年8月
セキュリティアップデート: 提供なし
バグ修正: 提供なし

なお、「NES Bootstrap」というプロジェクトがhttps://zh.herodevs.com/support/nes-bootstrapで言及されていますが、これは Bootstrap 3 とは関係のないプロジェクトのようです。

Bootstrap 3 を使用することの风险

Bootstrap 3 を使い続けることは、以下の様なセキュリティリスクを孕んでいます。

新たな脆弱性が発見されても修正プログラムが提供されないため、攻撃を受ける可能性があります。
Bootstrap 3 を利用している他のウェブサイトで脆弱性が発見された場合、その情報を利用して攻撃される可能性があります。

推奨事項

Bootstrap 3 を使用している場合は、以下の対策を推奨します。

可能な限り、最新バージョンである Bootstrap 5 にアップグレードしてください。Bootstrap 5 では、最新のセキュリティ対策が施されており、新機能も利用可能です。
アップグレードが難しい場合は、WAF (Webアプリケーションファイアウォール) の導入など、他のセキュリティ対策を強化してください。
セキュリティ情報サイトやメーリングリストなどを定期的に確認し、Bootstrap 3 の脆弱性に関する情報を入手してください。

Bootstrap 3 の脆弱性の例

過去のバージョンにおけるクロスサイトスクリプティング（XSS）の脆弱性を例に、具体的なコードを示します。

脆弱なコード例 (Bootstrap 3)


  <div class="form-group">
    <label for="userInput">ユーザー入力:</label>
    <input type="text" class="form-control" id="userInput">
  </div>
  <div id="output"></div>

  <script>
    let userInput = document.getElementById('userInput');
    let output = document.getElementById('output');
    userInput.addEventListener('input', function() {
      // ユーザー入力をそのまま出力するため、XSS の脆弱性があります。
      output.innerHTML = userInput.value;
    });
  </script>

上記のコードでは、ユーザー入力をサニタイズせずにHTMLとして出力しているため、悪意のあるスクリプトが実行される可能性があります。