LINE Developers แจ้งเมื่อ 20 ตุลาคม 2569 ว่า LIFF SDK เวอร์ชันเก่ามีช่องโหว่ XSS และจะจำกัดการใช้งานราว 24 พฤศจิกายน แอปที่ใช้ v2.20.0–v2.31.0 ได้รับผลกระทบทั้งหมด รวมแอปสั่งอาหาร จองคิว หรือสะสมแต้มที่ธุรกิจไทยใช้ภายใน LINE
LINE แจ้งอะไรบ้าง
นักวิจัยภายนอกรายงานช่องโหว่นี้ผ่านโปรแกรมของ LINE หากเปิดแอปเวอร์ชันเสี่ยงผ่านลิงก์อันตรายในเบราว์เซอร์ภายนอก ผู้ไม่ประสงค์ดีอาจรันโค้ด JavaScript บนโดเมนแอป ทำให้หลุด access token หรือข้อมูลบนหน้าจอได้ LINE ยังไม่พบการโจมตีสำเร็จ แต่ยืนยันไม่ได้ว่าไม่มีผลกระทบทุกที่ และการเปิดเผยช่องโหว่ก็เพิ่มความเสี่ยงให้มีคนใช้ประโยชน์
กำหนด 24 พ.ย. อาจขยับเร็วขึ้นได้
LINE แก้ไขช่องโหว่นี้ใน LIFF v2.31.1 (ปล่อย 30 กันยายน) เวอร์ชันล่าสุดคือ v2.31.2 ราว 24 พฤศจิกายน 2569 LINE จะจำกัดแอปที่ยังใช้ v2.20.0–v2.31.0 โดยวันนี้ “อาจเลื่อนเร็วขึ้นโดยไม่แจ้งล่วงหน้า” แอปที่เปิดผ่านเบราว์เซอร์ภายนอกอาจใช้ LINE Login หรือ LIFF อื่นไม่ได้ หรือทำงานผิดพลาด ทางแก้คือการอัปเดตตอนนี้ ไม่ใช่รอกำหนด
สิ่งที่ควรเช็กก่อนถึง 24 พ.ย.
- ถามทีมพัฒนาหรือเอเจนซีที่ดูแล LINE MINI App ว่าใช้ LIFF SDK เวอร์ชันไหน อัปเดตเป็น v2.31.2 แล้วหรือยัง
- CDN แบบ “edge path” อัปเดตอัตโนมัติ แต่ “fixed path” หรือ npm (
@line/liff) ต้องอัปเดตเอง - วันนี้ลองเปิดแอปสั่งอาหาร จองคิว หรือสะสมแต้มจากลิงก์ในแชต LINE ผ่านเบราว์เซอร์มือถือภายนอก ดูว่าใช้งานได้ปกติ
- ถ้ามีเอเจนซีดูแลมินิแอปตามสัญญา ควรขอคำยืนยันเป็นลายลักษณ์อักษร ไม่ใช่คำตอบทั่วไปว่า “ดูแลอยู่เสมอ”
นี่คือการเปลี่ยนนโยบาย MINI App ครั้งที่สองในรอบสองสัปดาห์ ต่อจากLINE จำกัดโฆษณาใน MINI App และถ้าโปรไฟล์ LINE OA กำลังเปลี่ยนเดือนนี้ด้วย ควรเช็กพร้อมกัน
