【重要】LIFF SDKの脆弱性に対するL Message（エルメ）のアップデート完了のご報告

【エルメの対応状況】
L Message（エルメ）では、2026年9月30日にLIFF SDKを最新バージョン（LIFF v2.31.1）へアップデート済みです。
エルメの機能をご利用いただくうえで、お客様側で行っていただく対応はありません。

平素よりL Message（エルメ）をご利用いただき、誠にありがとうございます。

2026年10月20日、LINEヤフー株式会社より、LIFF/LINEミニアプリで使われている「LIFF SDK」の脆弱性と、旧バージョンの利用制限についての案内が公開されました（10月22日に内容が追記されています）。

LIFFアプリのセキュリティに関するお問い合わせにつきましては、LINE社からも以下のとおり関連する案内が公開されております。

この記事では、LINE社の案内の要点と、エルメの対応状況をわかりやすくご説明します。

LIFF（リフ）とは

LIFF（LINE Front-end Framework）は、LINEの中でWebページを動かすための仕組みです。LINEのトーク画面からWebページを開いたときに、「どのLINEユーザーが開いたか」をWebページ側で判別できるようにする役割があります。

この仕組みをWebページに組み込むためのプログラムが「LIFF SDK」です。エルメの一部の機能でも、LIFF SDKを利用しています。

LINE社の案内の主な内容は、次のとおりです。

対象のバージョン	LIFF SDK v2.20.0 〜 v2.31.0
脆弱性の内容	クロスサイトスクリプティング（XSS）の脆弱性
起こりうること	特定の条件で、不正なURLから外部ブラウザでLIFFアプリを開いた際に、任意のプログラム（JavaScript）が実行され、アクセストークン等の認証情報や画面上の情報が不正に取得されるおそれがある
対象となるアプリ	上記の旧バージョンを使っているLIFFアプリ・LINEミニアプリ
被害の状況	LINE社の調査では、現時点で本脆弱性を悪用した攻撃の成立や、実データの漏えい・不正利用の被害は確認されていない
修正済みのバージョン	LIFF v2.31.1以降

なお、LINE社の10月22日の追記では、LIFF URLではなくLIFFアプリのエンドポイントURLをLINE内ブラウザで開いた場合も外部ブラウザの一種として扱われ、本脆弱性の対象になると案内されています。

LINE社は、ユーザーの安全を守るため、2026年11月24日（火）頃に旧バージョン（v2.20.0 〜 v2.31.0）の利用制限を実施する予定です。実施日は予告なく前倒しされる場合があります。

利用制限のあとは、旧バージョンを使っているLIFFアプリを外部ブラウザで開いた際に、次のような影響が出る可能性があります。

エルメでは、2026年9月30日にLIFF SDKを最新バージョン（LIFF v2.31.1）へアップデート済みです。LIFF v2.31.1は、今回の脆弱性が修正されたバージョンです。

そのため、エルメの機能については、11月24日頃に予定されている旧バージョンの利用制限による影響はありません。エルメをご利用中のお客様が、設定の変更などを行っていただく必要はございません。

LINE社より、LIFF SDKの旧バージョン（v2.20.0 〜 v2.31.0）の脆弱性と、2026年11月24日（火）頃の利用制限について案内が公開されました。
エルメでは、2026年9月30日にLIFF SDKを最新バージョン（LIFF v2.31.1）へアップデート済みです。エルメの機能について、お客様側での対応は不要です。

エルメのセキュリティへの取り組みについては、セキュリティポリシーと取り組みに関してもご確認ください。

最終更新：2026年10月23日（金）