Javadoc由来のMarkdownが未サニタイズでinnerHTMLに注入される（XSS）

[irof]

事象

解析対象コードの Javadoc 由来テキストを marked でパースした結果を、サニタイズなしで innerHTML に注入している。mermaid も securityLevel: "loose" で初期化している。

該当箇所

main (a3ad929) 時点:

• jig-core/src/main/resources/templates/assets/jig-dom.js:75-79
• jig-core/src/main/resources/templates/assets/jig-mermaid.js:946, 1211, 1497

function createMarkdownElement(markdown) {
    const element = createElement("div", {
        className: "markdown",
        innerHTML: parseMarkdown(markdown)
    });

失敗シナリオ

marked v15 はサニタイズしないため、<img src=x onerror=...> を含む Javadoc（サードパーティ依存や悪意あるコミット）が、生成レポートを開いたチームメンバーのブラウザでスクリプト実行される。

修正案

DOMPurify 等のサニタイザを併用する。mermaid の securityLevel も既定（strict）に戻せないか検証する。CDN 依存のため、サニタイザ導入とあわせてアセットのバンドル同梱も検討の価値あり（オフライン環境対応にもなる）。

---

🤖 この issue は Claude Code のコードレビューにより作成されました。

[irof]

対応しました（Closes トレーラ付きコミット、push 待ち）。

• cdn-scripts に DOMPurify（3.4.11）を追加し、createMarkdownElement でパース結果をサニタイズ
• DOMPurify 不在時（CDN 不達など）は innerHTML への注入をやめ textContent 表示にフォールバック
• Playwright 実ブラウザで <img onerror> / <script> が無害化され、通常の Markdown・mermaid ブロックは描画されることを確認

mermaid の securityLevel は検証の結果、click の関数コールバック（package図のノードクリック）が mermaid 11.12.0 実装上 loose でのみ有効なため既定（strict）へは戻せませんでした。この残課題とアセット同梱の検討は #1142 に切り出しています。

---

🤖 このコメントは Claude Code によるものです。