全国公的データラボ脆弱性情報（JVN）
脆弱性情報（JVN）検索・一覧
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 292,331 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
種別 情報漏えい 直近1年 の検索結果：41–80 件目を表示（ページ 2）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
Oracle Fusion MiddlewareのOracle Outside In Technology製品（コンポーネント：Outside In Core）における脆弱性です。本脆弱性の影響を受けるサポート対象バージョンは8.5.8となっています。容易に悪用可能な脆弱性のため、Oracle Outside In Technologyが実行されているインフラストラクチャにログオン権限を持つ認証されていない攻撃者がOracle Outside In Technologyを侵害する恐れがあります。攻撃の成功には、攻撃者以外の人物による人的な操作が必要です。この脆弱性を突いた攻撃が成功すると、Oracle Outside In Technologyの制御権を奪取する可能性があります。CVSS 3.1基本スコアは7.8（機密性、完全性、可用性に対する影響を含みます）。CVSSベクターは以下の通りです：(CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H)。
Oracle Fusion Middleware の Oracle Outside In Technology 製品（コンポーネント: Outside In Core）に脆弱性があります。影響を受けるサポート対象バージョンは 8.5.8 です。この脆弱性は簡単に悪用可能で、Oracle Outside In Technology が実行されているインフラストラクチャにログオンできる認証されていない攻撃者が、Oracle Outside In Technology を侵害することが可能です。攻撃の成功には攻撃者以外の人物の人的操作が必要となります。この脆弱性を攻撃に成功すると、Oracle Outside In Technology を乗っ取られる可能性があります。CVSS 3.1 基本スコアは 7.8（機密性、完全性、可用性に影響します）。CVSS ベクターは次の通りです: (CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H)。
Oracle Fusion Middleware の Oracle WebLogic Server 製品（コンポーネント：Core）に脆弱性があります。影響を受けるサポート対象バージョンは12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、および15.1.1.0.0です。悪用は困難ですが、この脆弱性により、T3およびIIOP経由でネットワークアクセスが可能な認証されていない攻撃者が Oracle WebLogic Server を侵害する可能性があります。この脆弱性を攻撃に利用されると、Oracle WebLogic Server の制御を奪取される可能性があります。CVSS 3.1基本スコアは8.1で、機密性、完全性および可用性に影響します。CVSSベクターは次の通りです：(CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H)。
Google Chrome 151.0.7922.169以前のSkiaにおける情報漏洩により、リモート攻撃者が細工されたHTMLページを介してWebオリジンポリシーを回避できる可能性がありました。（Chromiumのセキュリティ重大度は高です）
Splunk SOAR バージョン8.6.0未満では、有効な Splunk SOAR アカウントを持つユーザーが、プレイブック実行に対するREST（Representational State Transfer）APIフィルタリングを利用して、影響を受けるユーザーが利用可能なすべてのデータを危険にさらすセッショントークンを回復することが可能でした。この情報漏洩は、Splunk SOAR が本来レスポンスで隠すべき値とマッチするREST APIフィルターをブロックしないことが原因で発生します。詳細については、Splunkのドキュメント内のREST Run Playbook（https://help.splunk.com/en/splunk-soar/soar-cloud/rest-api-reference/run-playbook-endpoints/rest-run-playbook）をご参照ください。
Cisco Talos Intelligence for Enterprise Security Cloud のバージョン 1.0.3 未満において、未認証のユーザーが Splunk Web の静的ファイルパスを通じてアドオンの OpenAPI 仕様にアクセスできる可能性があります。公開された仕様により、アドオンの REST（Representational State Transfer）API のエンドポイントおよび認証モデルの偵察が可能になる恐れがあります。この脆弱性は、生成された OpenAPI 仕様が Splunk Web によって認証なしで提供される静的ファイルパスにパッケージ化されているために発生します。詳細については、Splunk ドキュメント内の「Deploy Cisco Talos Intelligence for Splunk Enterprise Security」（https://help.splunk.com/en/splunk-enterprise-security-8/user-guide/8.0/introduction/deploy-cisco-talos-intelligence-for-splunk-enterprise-security-cloud-only）をご参照ください。
Splunk Enterpriseのバージョン10.4.2未満、10.2.6未満、10.0.9未満、および9.4.14未満、ならびにSplunk Secure Gatewayのバージョン3.10.9未満、3.9.23未満、および3.8.70未満において、「admin」または「power」のSplunkロールを保持していないユーザーが、Splunk Secure GatewayのREST APIエンドポイントを通じて機密性の高いSecurity Assertion Markup Languageのセットアップおよびインスタンス設定情報を読み取ることが可能です。この脆弱性は、影響を受けるSecurity Assertion Markup Languageのセットアップおよびインスタンス設定のREST APIエンドポイントが、構成情報を返す前に認可要件を適切に強制していないことにより発生します。
Splunk Enterprise 10.4のバージョン10.4.2未満において、認証されていないユーザーがEdge Processor SPL2 PreviewサイドカーからPrometheusサービスメトリクスを読み取ることが可能です。これには、サイドカーの関連するランタイムおよびビルドのメタデータを公開するサービスの詳細も含まれます。この脆弱性は10.4未満のSplunk Enterpriseバージョンには影響しません。情報漏洩が発生する理由は、Edge Processor SPL2 Previewサイドカー内のPrometheusメトリクスエンドポイントに認証が欠如しているためであり、そのためサイドカーに到達可能な任意のクライアントが資格情報なしにメトリクスを取得できる状態にあります。詳細については、Splunkドキュメントの「About Splunk sidecars (https://help.splunk.com/en/splunk-enterprise/administer/admin-manual/10.4/splunk-sidecars/about-splunk-sidecars)」を参照してください。
DOMの情報漏洩に関わる脆弱性が、UIイベントおよびフォーカス処理コンポーネントに存在しました。この脆弱性はFirefox 154、Firefox ESR 140.14、Firefox ESR 153.1、Thunderbird 154、Thunderbird 140.14、およびThunderbird 153.1で修正されています。
DOMにおける情報漏洩の問題は、Push Subscriptionsコンポーネントに存在していました。この脆弱性は、Firefox 154、Firefox ESR 140.14、Firefox ESR 153.1、Thunderbird 154、Thunderbird 140.14、およびThunderbird 153.1で修正されました。
Mattermostデスクトップアプリのバージョン6.2および6.2.2.0以下では、診断レポートを生成する際に事前認証シークレットが編集されずに残る問題があります。このため、ローカルの攻撃者がユーザーの診断レポートやログファイルにアクセスすると、サーバー接続性（ステップ3）の診断出力を調査し、接続されたサーバーに設定されているプレーンテキストの事前認証シークレットを取得できる可能性があります。MattermostアドバイザリIDはMMSA-2026-00716です。
追加の検証により情報漏洩の問題が対処されました。この問題はiOS 18.7.10およびiPadOS 18.7.10で修正されています。アプリが機密性の高いカーネル状態を漏洩させる可能性がありました。
この問題は改良されたチェックにより対処されました。この問題はSafari 26.6.1、iOS 18.7.10およびiPadOS 18.7.10、iOS 26.6.1およびiPadOS 26.6.1、macOS Tahoe 26.6.2で修正されています。悪意を持って巧妙に作成されたウェブサイトを訪問すると、機密データが漏洩する可能性があります。
Dell Wyse Management Suite（WMS）のバージョン2605.0.2より前のバージョンには、重要な機能に対して認証が欠如している脆弱性があります。認証されていないリモート攻撃者がこの脆弱性を悪用する可能性があり、その結果、情報が漏洩する恐れがあります。
Apache AirflowのConfig APIは、マルチチーム環境においてチームスコープの機密設定値をマスクしていませんでした。管理者がマルチチームモードを有効にし、Config APIを公開している場合、認証済みのViewer権限（設定読み取りのみを持ち、事前に秘密情報へのアクセス権がない）でも、チームスコープのCeleryブローカーURL（埋め込まれた認証情報を含む）を平文で読むことができました。一方、同等のグローバルオプションは正しくマスクされていました。シークレットマスカーはベースのセクションとオプション名のみを照合し、感度チェックの前にチーム接頭辞付きセクションを正規化していませんでした（CWE-200）。これはCVE-2026-48828およびCVE-2026-48892とは異なるマスカーバイパスの問題であり、これらの問題を修正するためにapache-airflowを3.3.0にアップグレードしたデプロイメントも、このチームスコープのバリアントに引き続き影響を受けます。ユーザーには、チームスコープのセクションをマスキング前に正規化するapache-airflow 3.3.1以降へのアップグレードが推奨されます。
Apache Airflowのシークレットマスカーは、UIに表示される際に機密性の高いキー名に格納された値を隠します。しかし、マスカーの再帰深度制限は、リスト、タプル、またはセット内にネストされた値についてはその制限を超えて探索されなかったため、そのような深くネストされた値を持つAirflow変数がVariables UIでマスクされずに表示されてしまっていました。この情報漏洩はUIに限定されており、変数をUIで閲覧できる認証済みユーザーは、既にVariablesのREST APIを介してその完全な値を読むことができるため、通常は取得できないデータが開示されるわけではありません。マスク処理はUI上の肩越し閲覧（ショルダサーフィング）を防止するものであり、アクセス制御の境界ではありません。これはCVE-2026-42358の不完全な修正のフォローアップであり、その修正は辞書の走査のみ深さ制限なしにしましたが、リスト、タプル、セットについては深さ制限を超えた部分がUIでマスクされないままでした。CVE-2026-42358の修正を適用した導入環境も、この残存ケースに対処するためにアップグレードが必要です。apache-airflowを3.3.1以降にアップグレードしてください。
リモートデスクトップクライアントにおける境界外読み取りの脆弱性により、不正な攻撃者がネットワーク越しに情報を漏洩させる可能性があります。
リモートデスクトップクライアントの境界外読み取りにより、認可されていない攻撃者がネットワーク上で情報を漏洩させる可能性があります。
リモートデスクトップクライアントの境界外読み取りによって、権限のない攻撃者がネットワークを介して情報を漏洩させる可能性があります。
Microsoft Teams Mobile における機密情報の不正アクセスによって、不正な攻撃者がネットワークを介して情報を開示する可能性があります。
システムは、Email OTP、SMS OTP、またはMagic Linkをファーストファクター認証として使用する際に、テナント分離を強制するための十分な検証を行わずに認証リクエストを受け入れます。このため、ユーザーデータの十分な分離が行われず、個人識別情報が漏洩する可能性があります。この脆弱性を悪用すると、攻撃者は異なるテナントのユーザーの個人識別情報を開示でき、それによりプライバシー侵害や潜在的な規制違反を引き起こします。具体的には、携帯電話番号などのユーザー情報に不正アクセスされる可能性があります。
IBM Langflow OSS バージョン 1.0.0 から 1.10.3 では、認証済みユーザーが組み込みの Langflow コンポーネントを悪用して任意のサーバー環境変数を読み取ることができ、カスタムコンポーネントを無効化することを意図したセキュリティ制御があっても機密情報が漏洩する可能性がある問題です。
Apache Answerにおける未承認の関係者への機密情報漏洩の脆弱性です。本問題はApache Answerのバージョン2.0.1までに影響します。親の質問が表示されたままの場合、削除済みまたは保留中の回答が単一回答の読み取り経路を通じて未承認のユーザーに取得される可能性があり、本来アクセスすべきでない回答内容が露出してしまいます。ユーザーは本問題を修正したバージョン2.0.2にアップグレードすることを推奨します。
VMware vSphere Client向けDell Virtual Storage Integratorのバージョン10.11.1.0未満には、機密情報漏洩の脆弱性が存在します。認証されていないリモート攻撃者がこの脆弱性を悪用する可能性があり、情報漏洩やセッションハイジャックを引き起こす恐れがあります。この脆弱性により、認証されていない攻撃者がアクティブなセッション資格情報を取得して、管理者を含む認証済みユーザーになりすますことが可能になるため、重大とされています。Dellは、顧客に対し、できるだけ早くアップグレードすることを推奨しています。
151.0.7922.72以前のMac版Google ChromeのViewsにおける不適切な実装により、ローカルの攻撃者が細工されたHTMLページを介してプロセスメモリから潜在的に機密性の高い情報を取得する可能性がありました。（Chromiumセキュリティの重大度は低と評価されています）
151.0.7922.72より前のMac版Google ChromeのViewsにおける不適切な実装が原因で、ローカルの攻撃者が細工されたHTMLページを介してプロセスメモリから潜在的に機密性の高い情報を取得できる可能性がありました。（Chromiumのセキュリティ重大度は低と評価されています）
151.0.7922.72 より前の Mac 上の Google Chrome の IME における不適切な実装により、リモートの攻撃者が細工された HTML ページを介してプロセスメモリから潜在的に機密性のある情報を取得できる可能性がありました。（Chromium セキュリティの重大度は低と評価されています）
Google Chrome バージョン 151.0.7922.72 未満の WebGL における不適切な実装により、リモートの攻撃者が細工された HTML ページを介してプロセスメモリから潜在的に機密性の高い情報を取得する可能性がありました。（Chromium セキュリティ重大度：低）
151.0.7922.72以前のGoogle ChromeのWebXRにおける不適切な実装により、リモートの攻撃者が細工されたHTMLページを介してプロセスメモリから潜在的に機密性の高い情報を取得する可能性がありました。（Chromiumセキュリティ重大度：低）
iOS用Google Chromeの151.0.7922.72以前のバージョンにおいて、iOS向けChromeの不適切な実装が原因で、ローカルの攻撃者がデバイスへの物理的アクセスを介してプロセスメモリから潜在的に機密性の高い情報を取得できる可能性がありました。（Chromiumセキュリティの重大度は低いです）
151.0.7922.72 より前の Google Chrome における ANGLE の不適切な実装が原因で、リモートの攻撃者が細工された HTML ページを介してプロセスメモリから潜在的に機密性の高い情報を取得できる可能性がありました。（Chromium セキュリティの深刻度：高）」
151.0.7922.72 未満の Google Chrome の WebXR における不適切な実装により、リモートの攻撃者が細工された HTML ページを介してプロセスメモリから潜在的に機密性の高い情報を取得できる可能性がありました。（Chromium セキュリティの深刻度は中程度です）
151.0.7922.72 未満の Linux 上の Google Chrome における編集機能が不適切に実装されていたため、リモートの攻撃者が細工された HTML ページを介してクロスオリジンデータを漏洩させる可能性がありました。（Chromium セキュリティの深刻度は低いです）
151.0.7922.72より前のGoogle Chromeでは、DataTransferの実装が不適切であったため、リモート攻撃者が細工されたHTMLページを介してクロスオリジンのデータを漏洩させる可能性がありました。（Chromiumセキュリティの重大度は低いと評価されています）
JFrog Artifactoryのイベント処理に脆弱性があり、特定の条件下で低権限のユーザーに特権的な認証情報が露呈してしまう可能性があります。
ビルドリーダーは、別のリポジトリの環境プロパティにアクセスすることができます。通常のリポジトリに読み取りアクセス権を持つ呼び出し元は、保護されたビルドの環境プロパティを取得する際に読み取り可能なリポジトリパラメータを選択できるため、ビルド環境の秘密情報が漏洩する可能性があります（機密性に影響を及ぼしますが、完全性や可用性に対する影響は確認されていません）。
情報漏洩の問題は、強化されたプライバシー管理によって対処されました。この問題は macOS Sequoia 15.7.8 および macOS Sonoma 14.8.8 で修正されています。アプリが機密性の高いユーザーデータにアクセスできる可能性がありましたが、現在は対策が施されています。
この問題は、機密情報の不適切な編集によって発生したものであり、修正されました。この問題は macOS Sequoia 15.7.8、macOS Sonoma 14.8.8、macOS Tahoe 26.6 で解決されています。アプリケーションが機密のカーネル状態を漏洩させる可能性があります。
認証の問題は状態管理の改善によって対処されました。この問題は macOS Sequoia 15.7.8、macOS Sonoma 14.8.8、macOS Tahoe 26.6、および watchOS 26.6 で修正されています。アプリが機密ユーザーデータにアクセスできる可能性があります。
この問題は改良されたチェックにより対処されました。この問題はiOS 16.6およびiPadOS 16.6、macOS Tahoe 16.6で修正されています。アプリがユーザーの連絡先に関する情報にアクセスできる可能性があります。
脆弱性情報（JVN） よくある質問
脆弱性を製品名やベンダ名で検索できますか？
はい。製品・ベンダ・脆弱性タイプ（CWE）で全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順に表示します。
CVSS（深刻度）とは何ですか？
脆弱性の深刻さを0〜10で表す共通指標です。数値が大きいほど影響が大きく、緊急・重要・警告・注意などの区分で絞り込めます。
影響を受ける製品やベンダ企業は分かりますか？
各脆弱性の詳細ページで、影響を受ける製品・ベンダを確認できます。ベンダ名は法人検索と突き合わせて企業情報もたどれます。
情報の出典を教えてください。
JVN（IPA〔情報処理推進機構〕・JPCERT/CC 提供）の公開情報を収録しています。対応の要否は必ず各JVN詳細・公式情報でご確認ください。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全292,331件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。