全国公的データラボ脆弱性情報（JVN）
脆弱性情報（JVN）検索・一覧
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 292,332 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
種別 不適切な入力確認 直近3年 の検索結果：521–560 件目を表示（ページ 14）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
TeamViewer DEX（旧1E DEX）において、特に1E-Nomad-RunPkgStatusRequest命令内にコマンドインジェクションの脆弱性が発見されました。不適切な入力検証により、actioner権限を持つ認証済み攻撃者が命令の入力フィールドに悪意あるコマンドを注入することで、接続されたホスト上で権限昇格した任意のコマンドを実行できる可能性があります。1E Clientバージョン24.5以上を使用しているユーザーには影響がありません。
Power BI における不適切な入力検証の脆弱性により、認可された攻撃者がネットワーク越しにコードを実行する可能性があります。
Sync Breeze Enterprise Server v10.4.18 および Disk Pulse Enterprise v10.4.18には、設定の復元機能にリモートサービス拒否（DoS）脆弱性があります。この問題は、処理中のユーザー提供データの検証が不十分であることに起因します。攻撃者は悪意のあるリクエストを送信して設定ファイルを改ざんし、アプリケーションを応答不能にする可能性があります。成功した場合、サービスは自力で回復せず、構成が破損してサービスの再起動を妨げるため、サービスを手動で再起動しても完全な再インストールが必要となります。
Secure AccessのWindowsクライアントバージョン12.0から14.10に存在するサービス拒否（DoS）脆弱性であり、バージョン14.12で修正されました。ローカルネットワーキングポリシーが有効な場合、隣接するネットワーク上の攻撃者が細工されたパケットを送信することで、クライアントシステムをクラッシュさせる可能性があります。
EvilVideoの脆弱性により、Telegram for Androidアプリケーションのバージョン10.14.4以下が影響を受け、動画に偽装した悪意のあるアプリを送信できる可能性があります。
CPUID CPU-Z v2.17およびそれ以前のカーネルドライバは、IOCTLインターフェースを介して渡されるユーザー提供の値を検証しないため、攻撃者が細工されたリクエストを通じて機密情報にアクセスできる可能性があります。
Onlookウェブアプリケーション0.2.32のtRPCプロジェクトミューテーションAPI（更新、削除、タグの追加および削除）において、Broken Object Level Authorization（BOLA）脆弱性が発見されました。この脆弱性は、APIが要求されたプロジェクトIDに対する現在認証されているユーザーの所有権またはメンバーシップを検証しないことに起因しています。認証された攻撃者は、他のユーザーのプロジェクトIDを含む悪意のあるリクエストを送信し、そのプロジェクトのタグを不正に変更、削除、操作することが可能であり、これによりデータの完全性と可用性が深刻に損なわれる可能性があります。
EZCast Pro II バージョン 1.17478.146 の管理者UIにおける不適切な入力検証の脆弱性により、攻撃者が /tmp ディレクトリ内のファイルを操作できる可能性があります。
EVerestはEV充電ソフトウェアスタックです。バージョン2025.10.0以前では、エラー処理において`assert`関数を使用するとモジュールが頻繁にクラッシュする問題がありました。この問題は特に重大であり、いずれかのモジュールが終了するとマネージャーが他のすべてのモジュールをシャットダウンしてサービスを終了します。そのため、サービス拒否につながります。複数のEVSEを管理するマネージャーの文脈では、他のユーザーにも影響を及ぼします。この問題はバージョン2025.10.0で修正されました。
VercelのAI SDKにおける脆弱性は、バージョン5.0.52、5.1.0-beta.9、および6.0.0-betaで修正されました。この問題により、ユーザーがファイルアップロード時のファイルタイプホワイトリストを回避できる可能性がありました。すべてのユーザーに対してアップグレードを推奨します。
SecOps SOARサーバーに脆弱性が存在します。カスタムインテグレーション機能により、"IDEロール"を持つ認証ユーザーがサーバーでリモートコード実行（RCE）を行うことができました。この欠陥は、アップロードされたPythonパッケージコードの検証が不十分であったことに起因します。攻撃者は悪意のあるsetup.pyファイルを含むパッケージをアップロードでき、そのパッケージはインストールプロセス中にサーバー上で実行されるため、サーバーの侵害につながる可能性があります。顧客側での対応は不要です。全ての顧客は自動的に修正バージョン6.3.64以上にアップグレードされています。
OneFlow v0.9.0のflow.arange()コンポーネントには入力検証の脆弱性があり、攻撃者は細工された入力を用いてサービス拒否（DoS）を引き起こす可能性があります。
OneFlow v0.9.0 の oneflow.index_add コンポーネントにおける入力検証の脆弱性により、攻撃者が細工された入力を使用してサービス拒否（DoS）を引き起こす可能性があります。
OneFlow v0.9.0のflow.scatterおよびflow.scatter_addコンポーネントにおける入力検証の脆弱性により、攻撃者が細工されたインデックスを使用してサービス拒否（DoS）を引き起こす可能性があります。
OneFlow v0.9.0のflow.Tensor.new_empty/flow.Tensor.new_ones/flow.Tensor.new_zerosコンポーネントにおける入力検証の脆弱性により、攻撃者が細工された入力を通じてサービス拒否（DoS）攻撃を引き起こす可能性があります。
WindowsのGoogle Chromeバージョン144.0.7559.59以前のDownloads機能における不適切な実装により、リモートの攻撃者が悪意のあるファイルを用いて危険なファイルタイプの保護を回避できる問題です。
go-ethereum（geth）はEthereumプロトコルのgolangによる実行レイヤーの実装です。特殊に細工されたメッセージを使用することで、脆弱なノードを強制的にシャットダウンまたはクラッシュさせることが可能です。この脆弱性はバージョン1.16.8で修正されました。
go-ethereum (geth) は、Ethereum プロトコルの golang 実行レイヤーの実装です。悪意のある特別に細工されたメッセージを使用することで、脆弱なノードを強制的にシャットダウンさせたり、クラッシュさせたりできます。この脆弱性はバージョン 1.16.8 で修正されました。
iccDEVは、ICCカラーマネジメントプロファイルと対話し、操作し、適用するためのライブラリとツールを提供します。バージョン2.3.1.1以下には、ユーザーが制御可能な入力がプロファイルデータに安全でない方法で組み込まれた場合に、icValidateStatusのCIccProfile::CheckHeader()で整数オーバーフローの脆弱性が存在します。タグテーブル、オフセット、またはサイズフィールドを改ざんすることで、解析エラーやメモリ破損、DoSを引き起こし、その結果として任意のコード実行やアプリケーションロジックのバイパスが可能になります。この問題はバージョン2.3.1.2で修正されています。
iccDEVはICCカラーマネジメントプロファイルと対話し、操作し、適用するためのライブラリとツールを提供します。バージョン2.3.1.1およびそれ以前には、CIccMpeCalculator::Read()にヒープバッファオーバーフローの脆弱性が存在します。この脆弱性は、ユーザーが制御可能な入力がICCプロファイルデータや他の構造化されたバイナリデータに安全でない方法で組み込まれた場合に発生します。成功した悪用により、攻撃者はDoS攻撃を実行したり、データを操作したり、アプリケーションロジックを回避したり、コードを実行したりする可能性があります。この問題はバージョン2.3.1.2で修正されました。
iccDEVは、ICCカラーマネジメントプロファイルの操作、加工、および適用のためのライブラリとツールを提供しています。バージョン2.3.1.1以下には、CIccTagNamedColor2::SetSize()にヒープバッファオーバーフローの脆弱性があります。この脆弱性は、ユーザーが制御可能な入力がICCプロファイルデータやその他の構造化されたバイナリデータに安全でない方法で組み込まれた場合に発生します。攻撃が成功すると、攻撃者はDoS攻撃を実行したり、データを改ざんしたり、アプリケーションロジックを回避したり、コードを実行したりする可能性があります。この問題はバージョン2.3.1.2で修正されています。
iccDEVは、ICCカラーマネジメントプロファイルと対話し、操作し、適用するためのライブラリとツールを提供しています。バージョン2.3.1.1以前には、CIccTagXmlSegmentedCurve::ToXml()関数にヒープバッファオーバーフローの脆弱性が存在していました。これは、ユーザーが制御可能な入力がICCプロファイルデータやその他の構造化されたバイナリーブロブに安全でない形で組み込まれた場合に発生します。攻撃者がこの脆弱性を悪用すると、DoS攻撃を実行し、データを改ざんし、アプリケーションロジックを回避したりコードを実行したりすることが可能になります。この問題はバージョン2.3.1.2で修正されました。
Pithikos websocket-server v.0.6.4 には入力検証の問題があり、リモートの攻撃者が websocket_server/websocket_server.py 内の WebSocketServer._message_received コンポーネントを介して機密情報を取得したり、予期しないサーバーの動作を引き起こしたりする可能性があります。
SamsungのモバイルプロセッサおよびウェアラブルプロセッサであるExynos 1330、1380、1480、2400、1580、および2500のカメラに問題が発見されました。issimianデバイスドライバにおけるユーザースペース入力の不適切な検証により、情報漏洩やサービス拒否が発生する可能性があります。
OpenAirInterface CN5G AMF=v2.0.1には、JSON形式のリクエストを処理する際に論理エラーが存在します。認証されていないリモートの攻撃者は、悪意のあるJSONデータをAMFのSBIインターフェースに送信し、サービス拒否（DoS）攻撃を実行する可能性があります。
cpm/google/lib/tracepoint/cpm_fwtp_ipc.c の cpm_fwtp_msg_handler において、不適切な入力検証によりメモリの上書きが発生する可能性があります。これにより、追加の実行権限を必要とせずにローカルで特権昇格が発生する恐れがあります。悪用にユーザーの操作は必要ありません。
概要 `wrangler pages deploy` コマンドにコマンドインジェクションの脆弱性（CWE-78）が存在することが判明しました。この問題は、`--commit-hash` パラメータが適切に検証およびサニタイズされずにシェルコマンドに直接渡されるために発生し、`--commit-hash` を制御できる攻撃者が Wrangler を実行しているシステム上で任意のコマンドを実行できる可能性があります。 根本原因として、コマンドライン引数の --commit-hash から取得した commitHash 変数がテンプレートリテラルを用いてシェルコマンドに直接埋め込まれており（例: execSync(`git show -s --format=%B ${commitHash}`)）、シェルのメタ文字が解釈されてコマンド実行が可能となっています。 影響として、この脆弱性は `--commit-hash` を攻撃者が制御できることが前提であるため、悪用は一般的に困難です。主に `wrangler pages deploy` が自動化パイプラインで使用され、外部の信頼できないソースから `--commit-hash` パラメータが注入される CI/CD 環境に影響します。攻撃者は以下のような悪用を行う可能性があります：* 任意のシェルコマンドを実行すること。* 環境変数を漏洩させること。* CI ランナーを乗っ取り、バックドアの設置やビルド成果物の改ざんを行うこと。 クレジット この脆弱性は kny4hacker によって責任ある開示が行われました。 緩和策として、* Wrangler v4 ユーザーは Wrangler v4.59.1 以上にアップグレードしてください。* Wrangler v3 ユーザーは Wrangler v3.114.17 以上にアップグレードしてください。* サポート終了の Wrangler v2 ユーザーは、サポートされているメジャーバージョンにアップグレードしてください。
Apache Solr 8.6から9.10.0にかけての"create core" APIには、一部のAPIパラメータに対する十分な入力検証が欠如しています。これにより、Solrの"allowPaths"セキュリティ設定（https://solr.apache.org/guide/solr/latest/configuration-guide/configuring-solr-xml.html#the-solr-element）で禁止されているはずのファイルシステムのパスの存在確認および読み取りが試みられる場合があります。これらの読み取り専用アクセスによって、ファイルシステム経由でアクセス可能な予期しないconfigsetを使用してコアを作成できる可能性があります。さらに、WindowsシステムでUNCパスの許可が設定されている場合は、NTLMの"user"ハッシュの漏洩を引き起こす可能性もあります。Solrの展開環境が以下の条件を満たす場合、この脆弱性の影響を受けます。* Solrが"standalone"モードで実行されていること。* ファイルアクセスを特定のディレクトリに制限するためにSolrの"allowPath"設定が使用されていること。* 信頼できないユーザーがアクセス可能な状態でSolrの"create core" APIが公開されていること。これはRuleBasedAuthorizationPlugin（https://solr.apache.org/guide/solr/latest/deployment-guide/rule-based-authorization-plugin.html）が無効化されている場合や、有効であっても"core-admin-edit"の事前定義された権限（もしくは同等のカスタム権限）が低信頼（管理者ではない）ユーザーロールに付与されている場合に発生します。ユーザーはRuleBasedAuthorizationPluginを有効化し（無効の場合）、信頼できないユーザーが新しいSolrコアを作成できないように権限リストを設定することで緩和できます。また、この問題の修正を含むApache Solr 9.10.1以降へのアップグレードを推奨します。
Juniper NetworksのJunos OSおよびJunos OS EvolvedにおけるJuniper DHCP Daemon（jdhcpd）には不適切な入力検証の脆弱性が存在します。このため、認証されていない隣接攻撃者がjdhcpdプロセスをクラッシュさせ、サービス拒否（DoS）攻撃を引き起こす可能性があります。特定の不正に細工されたDHCPパケットがDHCPクライアントから受信されると、jdhcpdプロセスがクラッシュし、DHCPサービスが利用できなくなり、持続的なDoS状態を招きます。DHCPプロセスはサービス回復のために自動的に再起動します。この問題はdhcp-securityが有効になっている場合に発生します。本脆弱性は以下のJunos OSバージョンに影響を及ぼします。21.2R3-S9未満のすべてのバージョン、21.4から21.4R3-S10未満、22.2から22.2R3-S6未満、22.4から22.4R3-S6未満、23.2から23.2R2-S3未満、23.4から23.4R2-S4未満、24.2から24.2R2未満です。また、Junos OS Evolvedでは22.4から22.4R3-S6-EVO未満、23.2から23.2R2-S3-EVO未満、23.4から23.4R2-S4-EVO未満、24.2から24.2R2-EVO未満に影響します。
Juniper Networks Junos OSのMX240、MX480、MX960デバイスに搭載されたMX-SPC3セキュリティサービスカードのsyslogストリームTCPトランスポートには、不適切な入力検証の脆弱性が存在します。この脆弱性によって、認証されていないネットワークベースの攻撃者が特定の詐称パケットを送信し、MX-SPC3のSPUに対してCPUサービス拒否（DoS）を引き起こすことが可能です。これら特定のパケットの継続的な受信および処理により、DoS状態が持続します。本問題は以下のJunos OSバージョンに影響を与えます。* 22.2R3-S6以前の全バージョン、* 22.4の22.4R3-S4以前、* 23.2の23.2R2-S3以前、* 23.4の23.4R2-S4以前、* 24.2の24.2R1-S2および24.2R2です。妥協の指標として、SPC3 SPUの利用率が急上昇します。例えば、コマンド「user@device show services service-sets summary」にて、サービスセットのCPU利用率が99.97％など非常に高い使用率（OVLD）が表示されることがあります。
edu Business Solutions Print Shop Pro WebDesk バージョン18.34の /PSP/appNET/Store/CartV12.aspx/GetUnitPrice エンドポイントに問題があり、リモート攻撃者が負の数量で商品を購入することにより財務上の不整合を発生させる可能性があります。この脆弱性はクライアント側の入力検証制御に依存しているために発生します。
Graphics: CanvasWebGL コンポーネントにおける境界条件の誤りにより、サンドボックスをエスケープできる脆弱性。この脆弱性は Firefox バージョン147未満、Firefox ESR バージョン140.7未満、Thunderbird バージョン147未満、および Thunderbird バージョン140.7未満に影響します。
AOS-10またはAOS-8オペレーティングシステムを実行しているモビリティコンダクターのウェブベース管理インターフェースに不適切な入力処理の脆弱性が存在します。この脆弱性を悪用すると、有効な認証情報を持つ認証済みの悪意ある行為者が、影響を受けるシステムで意図しない動作を引き起こす可能性があります。
n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン1.65.0から1.121.0未満のすべてのバージョンにおいて、特定のフォームベースのワークフローを実行することで、攻撃者が基盤となるサーバー上のファイルにアクセスできる可能性があります。脆弱なワークフローは認証されていないリモート攻撃者にアクセスを許可し、システムに保存された機密情報の漏洩を引き起こすだけでなく、展開構成やワークフローの使用状況によってはさらなる侵害を招く恐れがあります。この問題はバージョン1.121.0で修正されました。
QVidium Opera11デバイス（ファームウェアバージョン2.9.0-Ax4x-opera11）は、/cgi-bin/net_ping.cgiエンドポイントにおける不適切な入力検証によりリモートコード実行（RCE）の脆弱性を有しています。攻撃者は悪意のあるパラメータを含む特別に細工されたGETリクエストを送信することでこの脆弱性を悪用し、任意のコマンドを注入できます。これらのコマンドはroot権限で実行されるため、攻撃者はデバイスを完全に制御可能です。この脆弱性は、このソフトウェアを実行しているすべてのデバイスに重大なセキュリティリスクをもたらします。
Windows Server Update Serviceの不適切な入力検証の脆弱性により、権限のない攻撃者がネットワーク経由でコードを実行する可能性があります。
Windows LDAP（Lightweight Directory Access Protocol）における不適切な入力検証により、権限を持つ攻撃者がネットワーク上で改ざんを行うことが可能になります。
Microsoft Office SharePointの不適切な入力検証により、未承認の攻撃者がローカルでコードを実行できる可能性があります。
Dreamweaver Desktop バージョン 21.6 以下には、不適切な入力検証の脆弱性があります。この脆弱性により、現在のユーザーのコンテキストで任意のコードが実行される可能性があります。この問題を悪用するためには、被害者が悪意のあるファイルを開くというユーザー操作が必要であり、スコープが変更されます。
Dreamweaver Desktop バージョン 21.6 以前には、不適切な入力検証の脆弱性があり、これにより現在のユーザーのコンテキストで任意のコードを実行される可能性があります。この問題を悪用するには、被害者が悪意のあるファイルを開くというユーザーの操作が必要であり、スコープが変更されます。
脆弱性情報（JVN） よくある質問
脆弱性を製品名やベンダ名で検索できますか？
はい。製品・ベンダ・脆弱性タイプ（CWE）で全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順に表示します。
CVSS（深刻度）とは何ですか？
脆弱性の深刻さを0〜10で表す共通指標です。数値が大きいほど影響が大きく、緊急・重要・警告・注意などの区分で絞り込めます。
影響を受ける製品やベンダ企業は分かりますか？
各脆弱性の詳細ページで、影響を受ける製品・ベンダを確認できます。ベンダ名は法人検索と突き合わせて企業情報もたどれます。
情報の出典を教えてください。
JVN（IPA〔情報処理推進機構〕・JPCERT/CC 提供）の公開情報を収録しています。対応の要否は必ず各JVN詳細・公式情報でご確認ください。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全292,332件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。