全国公的データラボ脆弱性情報（JVN）
脆弱性情報（JVN）検索・一覧
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 292,331 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
種別 不適切な入力確認 直近3年 の検索結果：401–440 件目を表示（ページ 11）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
LinuxおよびChromeOS上のGoogle Chrome（バージョン148.0.7778.96未満）において、UIの信頼されていない入力の検証が不足しているため、リモートの攻撃者が特定のUIジェスチャーをユーザーに実行させ、細工されたHTMLページを介して任意のコードを実行できる可能性があります。
148.0.7778.96より前のAndroid版Google ChromeのPaymentsにおいて、信頼されていない入力の検証が不十分であったため、レンダラープロセスが侵害される可能性がありました。リモート攻撃者は細工されたHTMLページを介してOmnibox（URLバー）の内容を詐称することができました。
Google Chromeのバージョン148.0.7778.96以前において、SSLで信頼されていない入力の検証が不十分であったため、リモート攻撃者が細工されたHTMLページを介してレンダラプロセスを侵害し、UIスプーフィングを実行できる脆弱性が存在しました。
148.0.7778.96より前のMac版Google ChromeのUpdaterにおいて、信頼されていない入力の検証が不十分であったため、ローカルの攻撃者が悪意のあるファイルを通じてOSレベルの権限を昇格させることが可能でした。（Chromiumセキュリティの重大度は低いです）。
スタックベースのバッファオーバーフローが.NETおよびVisual Studioに存在し、不正な攻撃者がネットワーク経由でサービス拒否攻撃を引き起こす可能性があります。
wget2は、誤ったキー使用法（KU）または拡張キー使用法（EKU）を持つサーバー証明書を受け入れてしまいます。攻撃者が異なる目的で発行された証明書と関連する秘密鍵を侵害した場合、その証明書をTLSサーバー認証に再利用できる可能性があります。
NVIDIA Flare SDKには、攻撃者がパス・トラバーサル攻撃を利用して不適切な入力検証を引き起こす可能性がある脆弱性が含まれています。この脆弱性を悪用すると、情報漏洩が発生する可能性があります。
uutils coreutils の kill ユーティリティにおける引数解析エラーにより、kill -1 がデフォルトのシグナル (SIGTERM) を PID -1 に送信する要求として誤って解釈されます。PID -1 にシグナルを送信すると、カーネルは呼び出し元に見えるすべてのプロセスを終了させるため、システムクラッシュや大量のプロセス終了を引き起こす可能性があります。これは、GNU coreutils とは異なり、この文脈で -1 をシグナル番号として正しく認識し、代わりに PID 引数の不足を報告するものです。
Progress Software MOVEit Automationにおける不適切な入力検証の脆弱性が原因で、権限昇格が可能になります。この問題は、MOVEit Automationの以下のバージョンに影響します：2025.1.0から2025.1.5未満、2025.0.0から2025.0.9未満、2024.0.0から2024.1.8未満、および2024.0.0以前のバージョンです。
Google Chrome 147.0.7727.138より前のバージョンのFeedbackにおける信頼されていない入力の検証不足により、リモート攻撃者が細工されたHTMLページを介してレンダラープロセスを侵害し、サンドボックスを脱出する可能性がありました。
Google Chrome 147.0.7727.138より前のバージョンのコンポジティングにおいて、信頼されていない入力の検証が不十分でした。この脆弱性により、レンダラープロセスを侵害したリモート攻撃者が細工されたHTMLページを介してサイト分離を回避できました。この問題はChromiumセキュリティで重大度が高いと評価されています。
wolfSSLのwc_PKCS7_DecodeAuthEnvelopedData()は受信したAES-GCM認証タグの長さを適切にサニタイズせず、下限のチェックも行っていません。そのため、中間者攻撃者はmacフィールドの長さを16バイトから1バイトに切り詰めることができ、タグの検証強度を2の-128乗から2の-8乗に低減させる可能性があります。
Dell PowerProtect Data Domain のバージョン 7.7.1.0 から 8.6、および LTS2025 リリース バージョン 8.3.1.0 から 8.3.1.20、LTS2024 リリース バージョン 7.13.1.0 から 7.13.1.60 には、不適切な入力検証の脆弱性が含まれています。リモートアクセス権を持つ高権限の攻撃者がこの脆弱性を悪用する可能性があり、その結果、root 権限で任意のコマンドを実行される恐れがあります。
Dell PowerProtect Data Domainのバージョン8.5から8.6には、不適切な入力検証の脆弱性があります。この脆弱性を悪用できるのはリモートアクセス権を持つ高権限の攻撃者であり、悪用された場合にはroot権限で任意のコマンドを実行される可能性があります。
Microsoft PowerShellにおける不適切な入力検証の脆弱性により、権限のない攻撃者がローカルでセキュリティ機能を回避できます。
uutils coreutils の comm ユーティリティは、比較操作を実行する前に、通常ファイル以外の入力から誤ってデータを消費してしまいます。are_files_identical 関数は、入力パスが通常ファイルかどうかを最初に検証せずに、両方の入力パスを開いて内容を読み取り比較します。入力パスが FIFO やパイプである場合、この事前読み取り操作によりストリームが消費され、実際の比較ロジックが実行される前にデータが静かに失われます。さらに、/dev/zero のような無限ストリームからの事前読み取りを試みると、ユーティリティが無期限にハングする可能性があります。
Spring Securityの脆弱性です。アプリケーションがNimbusJwtDecoderまたはNimbusReactiveJwtDecoderでJWTデコードを構成する際には、OAuth2TokenValidatorJwtを別途構成する必要があります。例えば、setJwtValidatorを呼び出して設定する必要があります。この問題はSpring Securityのバージョン6.3.0から6.3.14、6.4.0から6.4.14、6.5.0から6.5.9、7.0.0から7.0.4までのバージョンに影響します。
Windows Helloの不適切な入力検証により、認可された攻撃者がローカルでセキュリティ機能を回避することができる。
Spinnakerはオープンソースのマルチクラウド継続的デリバリープラットフォームです。2026.1.0、2026.0.1、2025.4.2、および2025.3.2より前のバージョンでは、悪意のある者がclouddriverポッド上で任意のコマンドを非常に簡単に実行できる可能性があります。これにより、認証情報が漏洩したり、ファイルが削除されたり、リソースが注入されたりする恐れがあります。バージョン2026.1.0、2026.0.1、2025.4.2、および2025.3.2にはこの問題に対するパッチが含まれています。回避策として、gitrepoアーティファクトタイプを無効にしてください。
uutils coreutils の env ユーティリティにおけるロジックエラーにより、-S (split-string) オプションを利用した際にコマンドライン引数を正しく解析できなくなる問題があります。GNU env ではシングルクォート内のバックスラッシュは文字通り扱われます（\ と \' の例外を除きます）。しかし、uutils の実装ではこれらのシーケンスを誤って検証しようとするため、有効だが認識されないシーケンス（例：\a や \x）に遭遇すると「invalid sequence」エラーが発生し、プロセスはステータス125で即座に終了します。この GNU の動作との違いにより、標準の split-string セマンティクスに依存する自動化スクリプトや管理作業の互換性が破壊され、これらの操作はローカルでのサービス拒否につながります。
Windows Server Update Serviceにおける不適切な入力検証により、認証されていない攻撃者がネットワーク上で改ざんを行うことが可能になる。
Windows Hyper-Vにおけるヒープベースのバッファオーバーフローの脆弱性により、認証されていない攻撃者がローカルでコードを実行できる可能性があります。
Microsoft PowerShellにおける不適切な入力検証の脆弱性により、権限を持つ攻撃者がローカル環境で権限を昇格させることが可能となります。
Flowiseはカスタマイズ可能な大規模言語モデルのフローを構築するためのドラッグ＆ドロップユーザーインターフェースです。バージョン3.1.0以前のFlowiseには、認証不要で発生する重大なリモートコマンド実行（RCE）脆弱性が存在します。この脆弱性は、FILE-STORAGE::キーワードとNODE_OPTIONS環境変数の注入を組み合わせたパラメータオーバーライド回避によって悪用されます。これにより、コンテナ化されたFlowiseインスタンス内で任意のシステムコマンドをroot権限で実行可能であり、単一のHTTPリクエストだけで認証やインスタンスの詳細な知識を必要としません。この脆弱性はバージョン3.1.0で修正されています。
Eaton Intelligent Power Protector (IPP) の XML の一部に不適切な入力検証があるため、管理者権限を持ちローカルシステムにアクセスできる攻撃者が悪意のあるコードを注入し、任意のコマンドを実行する可能性があります。本セキュリティ問題は、Eaton ダウンロードセンターで入手可能な Eaton IPP ソフトウェアの最新バージョンで修正されています。
Windows BitLocker の不適切な入力検証により、不正な攻撃者がローカルでセキュリティ機能を回避できる可能性があります。
Windows Helloの不適切な入力検証により、未承認の攻撃者がネットワーク経由でセキュリティ機能を回避できる可能性があります。
Canonical LXD 6.8以前では、バックアップインポートパスが提供されたtarアーカイブ内のbackup/index.yamlに対してプロジェクト制限を検証しますが、インスタンスは同じアーカイブ内の別ファイルであるbackup/container/backup.yamlから作成され、こちらにはプロジェクト制限の検証が行われません。認証済みのリモート攻撃者が制限されたプロジェクトでインスタンス作成権限を持っている場合、backup.yamlにsecurity.privileged=trueやraw.lxcディレクティブなどの制限付き設定を含むバックアップアーカイブを作成できます。これにより、すべてのプロジェクト制限の適用を回避してホスト全体を乗っ取ることが可能になります。
jqはコマンドラインのJSONプロセッサです。6374ae0bcdfe33a18eb0ae6db28493b1f34a0a5b以前のコミットには、埋め込まれたNULバイトを介して検証を回避できるCLI入力解析の脆弱性が含まれていました。jqがファイルや標準入力からJSONを読み取る際、fgets()による実際のバイト数ではなくstrlen()を使ってバッファ長を決定していたため、入力を最初のNULバイトで切り捨て、その前のプレフィックスだけを解析していました。これにより、攻撃者はNULバイトの前に無害なJSONプレフィックスを作成し、その後に悪意のある追尾データを続ける入力を作成できました。jqはプレフィックスのみを有効なJSONとして検証し、サフィックスは黙って破棄します。jqを使用して信頼できないJSONを検証し、それを下流の消費者に転送するワークフローはパーサの差分攻撃に対して脆弱であり、これらの消費者は悪意ある追尾バイトを含む完全な入力を処理する可能性があります。この問題はコミット6374ae0bcdfe33a18eb0ae6db28493b1f34a0a5bで修正されました。
Windows Hyper-Vの不適切な入力検証により、認可された攻撃者がローカル環境でコードを実行できる可能性があります。
SEPPmail Secure Email Gatewayのバージョン15.0.3未満には、攻撃者がメールアドレスと一致しないUIDを持つPGPキーをアップロードできる脆弱性があります。
SEPPmail Secure Email Gatewayのバージョン15.0.3より前のバージョンには、攻撃者が件名のサニタイズを回避するためのパスワードタグを作成できる脆弱性があります。
SEPPmail Secure Email Gateway バージョン15.0.3未満では、攻撃者が長い件名を作成することにより、ユーザーからセキュリティタグを隠すことが可能です。
SEPPmail Secure Email Gateway バージョン15.0.3以前では、攻撃者が件名のサニタイズをバイパスし、「[signed OK]」などのタグを偽造できる可能性があります。
SEPPmail Secure Email Gatewayのバージョン15.0.3未満では、S/MIMEで暗号化されたMIMEエンティティの内部メッセージを適切に認証しないため、攻撃者が信頼されたヘッダーを制御できる可能性があります。
SEPPmail Secure Email Gateway バージョン15.0.3以前には、攻撃者が件名のサニタイズを回避し、Unicodeの類似文字を使用してセキュリティタグを偽造できる脆弱性があります。
Juniper NetworksのJunos OSおよびJunos OS Evolvedには不適切な入力検証の脆弱性が存在します。この脆弱性により、認証されていない隣接する攻撃者が既に確立されたBGPセッション内で特定の正当なBGPパケットを送信すると、そのセッションのみをリセットしサービス拒否（DoS）を引き起こす可能性があります。攻撃者がこのパケットを繰り返し送信すると、サービス拒否（DoS）状態が継続します。この問題は以下のJunos OSのバージョンに影響します：25.2R2より前の25.2バージョンであり、25.2R1より前のJunos OSバージョンには影響しません。また、この問題は以下のJunos OS Evolvedのバージョンに影響し、25.2R2-EVOより前の25.2-EVOバージョンが該当し、25.2R1-EVOより前のJunos OS Evolvedバージョンには影響しません。eBGPおよびiBGPの両方に影響があり、IPv4およびIPv6も対象です。
OpenPrinting CUPSは、Linuxおよび他のUnix系オペレーティングシステム向けのオープンソース印刷システムです。バージョン2.4.16以前において、ネットワークに公開された共有ターゲットキューを持つcupsdに対して、認証なしで不正なクライアントがその共有されたPostScriptキューにPrint-Jobを送信できる脆弱性が存在します。サーバーはtextWithoutLanguageとして提供されたpage-border値を受け入れ、埋め込まれた改行をオプションのエスケープおよび再解析で保持し、その後、結果として得られた2行目のPPDテキストを信頼されたスケジューラ制御レコードとして再解析します。そのため、続けて送られた生のプリントジョブによって、サーバーが/usr/bin/vimなどの攻撃者が選択した既存のバイナリをlpとして実行してしまう可能性があります。公開時点では、修正パッチは公開されていません。
Windows Active Directory における不適切な入力検証により、認証された攻撃者が隣接するネットワーク上でコードを実行する可能性があります。
カーネルモジュールにおける境界外書き込みの脆弱性があります。この脆弱性を悪用されると、システムの可用性および機密性に影響が及びます。
脆弱性情報（JVN） よくある質問
脆弱性を製品名やベンダ名で検索できますか？
はい。製品・ベンダ・脆弱性タイプ（CWE）で全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順に表示します。
CVSS（深刻度）とは何ですか？
脆弱性の深刻さを0〜10で表す共通指標です。数値が大きいほど影響が大きく、緊急・重要・警告・注意などの区分で絞り込めます。
影響を受ける製品やベンダ企業は分かりますか？
各脆弱性の詳細ページで、影響を受ける製品・ベンダを確認できます。ベンダ名は法人検索と突き合わせて企業情報もたどれます。
情報の出典を教えてください。
JVN（IPA〔情報処理推進機構〕・JPCERT/CC 提供）の公開情報を収録しています。対応の要否は必ず各JVN詳細・公式情報でご確認ください。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全292,331件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。