全国公的データラボ脆弱性情報（JVN）
脆弱性情報（JVN）検索・一覧
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 292,331 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
種別 情報漏えい 直近1年 の検索結果：81–120 件目を表示（ページ 3）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
情報漏えいの問題は、脆弱なコードを削除することで対処されました。この問題は、iOS 16.6およびiPadOS 16.6、macOS Tahoe 13.6、tvOS 16.6、watchOS 9.6で修正されています。アプリが機密性の高いユーザーデータにアクセスできる可能性がありましたが、現在は解消されています。
この問題は改善されたチェックによって対処されました。この問題はiOS 16.6およびiPadOS 16.6、macOS Sequoia 15.7.8、macOS Sonoma 14.8.8、macOS Tahoe 16.6、visionOS 16.6、watchOS 9.6で修正されています。悪意を持って作成された連絡先を処理すると、機密データが漏洩する可能性があります。
認可の問題は状態管理の改善によって対処されました。この問題はiOS 16.6およびiPadOS 16.6で修正されています。アプリが機密性の高いユーザーデータにアクセスできる可能性がありました。
この問題はメモリ処理の改善によって対処されました。この問題はiOS 16.6、iPadOS 16.6、macOS Sequoia 15.7.8、macOS Sonoma 14.8.8、macOS Tahoe 16.6、tvOS 16.6、visionOS 16.6、watchOS 9.6で修正されています。アプリケーションがカーネルメモリを開示する可能性があります。
プライバシー問題は、機密データを削除することで対処されました。この問題はmacOS Sequoia 15.7.8、macOS Sonoma 14.8.8、macOS Tahoe 26.6で修正されています。アプリが機密ユーザー情報を漏洩する可能性がありました。
この問題はデータ保護の強化によって対処されました。この問題はiOS 16.6およびiPadOS 16.6、macOS 13.5、tvOS 16.6、visionOS 1.0、watchOS 9.6で修正されています。この問題によりアプリがユーザーを特定できる可能性があります。
追加の制限により権限の問題が対処されました。この問題は iOS 16.6、iPadOS 16.6、tvOS 16.6、visionOS 16.6、watchOS 16.6 で修正されています。アプリが永続的なデバイス識別子を読み取る可能性がありましたが、これが防止されました。
追加の検証により情報漏洩の問題が対処されました。この問題はmacOS Sequoia 15.7.8、macOS Sonoma 14.8.8、macOS Tahoe 26.6で修正されています。アプリがカーネルメモリを開示する可能性があります。
追加の制限により権限の問題が対処されました。この問題はiOS 16.6およびiPadOS 16.6、macOS Ventura 13.5、tvOS 16.6、visionOS 1.0、watchOS 9.6で修正されています。アプリがユーザーをフィンガープリントできる可能性がありましたが、この問題は解決されました。
認証に関する問題は、改善された状態管理によって対処されました。この問題は macOS Tahoe 26.6 および watchOS 26.6 で修正されています。アプリが機密ユーザーデータにアクセスできる可能性が存在していました。
この問題は改良されたチェックによって対処されました。この問題は macOS Sequoia 15.7.8、macOS Sonoma 14.8.8、macOS Tahoe 26.6 で修正されています。アプリが機密ユーザーデータにアクセスできる可能性があります。
この問題はデータ保護の改善によって対処されました。この問題はiOS 16.6およびiPadOS 16.6、macOS Sequoia 15.7.8、macOS Sonoma 14.8.8、macOS Tahoe 16.6、tvOS 16.6、visionOS 16.6、watchOS 16.6で修正されています。この問題により、アプリが機密性の高いユーザーデータにアクセスする可能性があります。
この問題は改良されたチェックによって対処されました。この問題は、iOS 16.6およびiPadOS 16.6、macOS Sequoia 15.7.8、macOS Sonoma 14.8.8、macOS Tahoe 16.6、tvOS 16.6、visionOS 16.6、watchOS 9.6で修正されています。この問題によって、アプリが機密ユーザーデータにアクセスできる可能性があります。
Oracle Fusion MiddlewareのOracle Coherence製品（コンポーネント：Core）に存在する脆弱性について説明します。影響を受けるサポート対象バージョンは14.1.1.0.0、14.1.2.0.0、および15.1.1.0.0です。TCP経由のネットワークアクセスを持つ認証されていない攻撃者によって容易に悪用可能な脆弱性であり、Oracle Coherenceを侵害する恐れがあります。この脆弱性を悪用した攻撃が成功すると、Oracle Coherenceがアクセス可能なデータの一部に対して不正な読み取りアクセスが発生する可能性があります。CVSS 3.1の基本スコアは5.3（機密性への影響）です。CVSSベクターは(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N)です。
Oracle Fusion MiddlewareのOracle Coherence製品（コンポーネント：Core）における脆弱性について説明します。影響を受けるサポート対象バージョンは12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、および15.1.1.0.0です。HTTP経由でネットワークアクセス可能な認証されていない攻撃者によって容易に悪用可能な脆弱性であり、この脆弱性によりOracle Coherenceが侵害される可能性があります。この脆弱性への攻撃が成功すると、Oracle Coherenceでアクセス可能なデータの一部に対して不正な読み取りアクセスが発生します。CVSS 3.1の基本スコアは5.3（機密性への影響）です。CVSSベクターは（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N）となっています。
Oracle Fusion MiddlewareのOracle WebCenter Content製品（コンポーネント：Content Server）における脆弱性です。影響を受ける対応バージョンは12.2.1.4.0および14.1.2.0.0となっています。簡単に悪用可能な脆弱性により、Oracle WebCenter Contentが実行されているインフラストラクチャに認証されていない攻撃者がログオンでき、その結果、Oracle WebCenter Contentを侵害することが可能です。脆弱性はOracle WebCenter Contentにありますが、攻撃は他の製品にも大きな影響を与える可能性があります（スコープ変更）。この脆弱性への攻撃が成功すると、重要なデータへの不正アクセスや、Oracle WebCenter Contentでアクセス可能なすべてのデータへの完全なアクセスを引き起こす可能性があります。CVSS 3.1基本スコアは7.1（機密性への影響）です。CVSSベクター：(CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N)
Oracle E-Business SuiteのOracle HRMS（英国）製品（コンポーネント：UK Payroll）に脆弱性が存在します。影響を受けるサポート対象バージョンは12.2.3から12.2.15です。悪用が困難なこの脆弱性により、高い権限を持つ攻撃者がHTTP経由でネットワークアクセスし、Oracle HRMS（英国）を侵害する可能性があります。この脆弱性が成功裏に攻撃された場合、Oracle HRMS（英国）でアクセス可能なデータの一部に対して不正な読み取りアクセスが発生する恐れがあります。CVSS 3.1基本スコアは2.2（機密性への影響）です。CVSSベクターは次の通りです：(CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:L/I:N/A:N)。
Oracle E-Business SuiteのHRMS（オーストラリア）製品（コンポーネント：給与計算）に脆弱性があります。影響を受けるサポート対象バージョンは12.2.3から12.2.15までです。低権限の攻撃者がHTTP経由でネットワークアクセスを行うことで簡単に悪用でき、この脆弱性によりHRMS（オーストラリア）が侵害される可能性があります。もしこの脆弱性を悪用した攻撃に成功すると、重要なデータへの不正アクセスやHRMS（オーストラリア）でアクセス可能な全データへの完全なアクセスが発生する恐れがあります。CVSS 3.1基本スコアは6.5（機密性への影響）です。CVSSベクターは(CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N)となっています。
Oracle Commerce の Oracle Commerce Guided Search / Oracle Commerce Experience Manager 製品（コンポーネント：Experience Manager）に存在する脆弱性です。影響を受けるサポート対象バージョンは 11.4.0 です。HTTP 経由でネットワークアクセス可能な未認証の攻撃者が容易に悪用できる脆弱性により、Oracle Commerce Guided Search / Oracle Commerce Experience Manager が侵害される可能性があります。この脆弱性が攻撃に成功すると、重要なデータへの不正アクセスや Oracle Commerce Guided Search / Oracle Commerce Experience Manager でアクセス可能なすべてのデータへの完全なアクセスが許される場合があります。CVSS 3.1 基本スコアは 7.5（機密性への影響）です。CVSS ベクターは次の通りです: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)
Graphics: ImageLib コンポーネントにおいて情報漏えいの脆弱性が存在しました。この脆弱性は Firefox 153、Firefox ESR 115.38、Firefox ESR 140.13、Thunderbird 153、および Thunderbird 140.13 で修正されました。
Firefox for Androidのプライバシーコンポーネントにおいて情報漏洩が発生する脆弱性です。この脆弱性はFirefox 153で修正されました。
DevToolsのFrameworkコンポーネントにおいて情報漏洩が発生する脆弱性です。この脆弱性は、Firefox 153、Firefox ESR 140.13、Thunderbird 153、およびThunderbird 140.13で修正されました。
ストレージ：IndexedDB コンポーネントにおける情報漏洩の脆弱性です。この脆弱性は Firefox 153、Firefox ESR 140.13、Thunderbird 153、および Thunderbird 140.13 で修正されました。
DOMにおける情報漏洩の脆弱性：セキュリティコンポーネントに関する問題です。この脆弱性はFirefox 153およびThunderbird 153で修正されました。
SurrealDBのバージョン3.1.0より前のバージョンでは、グラフエッジや逆参照をたどる際にテーブルのSELECT権限が適切に適用されません。そのため、認証されたユーザーは、対象テーブルのSELECT句に関する権限に関係なく、グラフエッジを通じて到達可能な任意のテーブルからレコードを読み取ることができます。
Networking: WebSockets コンポーネントにおける情報漏えいの脆弱性が存在しました。この脆弱性は、Firefox 153、Firefox ESR 140.13、Thunderbird 153、および Thunderbird 140.13で修正されています。
HCL MyCloudはサーバーのバージョン情報が漏洩する影響を受けました。このため、攻撃者が公開されているソフトウェアのバージョンから影響を与える既知の脆弱性を特定し、悪用する可能性があります。
HCL MyCloudはHTTPレスポンス内でライセンスキーが露出する脆弱性の影響を受けています。これにより、攻撃者が露出した情報を悪用してアプリケーションのセキュリティを侵害する可能性があります。
Symfony UXはSymfonyのためのJavaScriptエコシステムです。バージョン2.2.0から2.36.0および3.1.0まで、Symfony\UX\Autocomplete\Doctrine\EntitySearchUtil::addSearchClause()は、クライアントから提供されたクエリをエスケープせずにSQL LIKEワイルドカード（%, _, \）で囲んでLIKE式を構築しており、このLIKE式はオートコンプリートエンドポイントで使用されていました。そのため、認証されていないユーザーが公開されているBaseEntityAutocompleteTypeエンドポイントを利用して、default searchable_fields内のすべてのカラムに対して広範なマッチングやブラインドブールオラクル攻撃を実行できる可能性がありました。この問題はバージョン2.36.0および3.1.0で修正されています。
HCL DFXAnalyticsは、暗号化されたセッション（SSL）クッキーにおいてセキュア属性が未設定である脆弱性の影響を受けています。このアプリケーションは認証時に生成されるセッションクッキーに「secure」属性を設定していません。そのため、リモートの攻撃者がネットワークトラフィックを盗聴し、暗号化されていないチャネルを通じて送信される機密クッキーやセッショントークン、認証情報を取得する可能性があります。
HCL DFXAnalytics は内部IPアドレス漏洩の脆弱性の影響を受けています。このアプリケーションは生成されるサーバー応答内に内部IPアドレスの詳細を含んでおり、これによりリモート攻撃者が機密性の高いネットワークトポロジー情報を収集し、内部インフラストラクチャのマッピングを行い、さらなる標的型攻撃に利用する可能性があります。
HCL DFXAnalyticsは、HTTP Strict-Transport-Securityヘッダーが欠如していることに起因する脆弱性を抱えています。このアプリケーションはレスポンス内でHTTP Strict Transport Security（HSTS）ポリシーを実装していないため、リモート攻撃者が通信チャネルを暗号化されていない接続（HTTP）にダウングレードし、中間者攻撃（MitM）を実行する恐れがあります。この問題を解決するためには、アプリケーションがすべてのウェブアプリケーションのレスポンスに「Strict-Transport-Security」ヘッダーを含める必要があります。
HCL DFXAnalyticsは、内部ファイルパスの情報漏洩の脆弱性に影響を受けています。このアプリケーションのダッシュボードは、未処理のエラーメッセージやシステムログ、デバッグ出力を通じて、内部ファイル構造やディレクトリパスに関する機密情報を誤って漏洩してしまいます。これにより、リモートの攻撃者が基盤となるサーバー環境をマッピングし、さらなる悪用のために標的を特定する可能性があります。
Windows Common Log File System Driverにおける未承認の攻撃者による機密情報の漏洩により、認可された攻撃者がローカルで特権を昇格させることが可能になります。
Adobe Commerceは情報漏洩の脆弱性の影響を受けており、これにより限定的な機密情報が漏洩する可能性があります。攻撃は攻撃者の制御外の条件に依存して成立します。この問題を悪用するためにユーザーの操作は不要です。
Devolutions Server 2026.1.22.0および2026.2.11.0のリカバリーキット応答ファイル生成機能において、機密情報がファイルに挿入されてしまう脆弱性があります。この脆弱性により、生成された応答ファイルにアクセスできる攻撃者は、機密データを除外するオプションが選択されていても、Azure Key Vaultクライアントシークレットを平文で取得可能となります。
Eclipse Jettyにおいて、トレーラーを含む最初のHTTP/1.1リクエストが同じ接続上で行われた後の後続リクエストに対して、そのトレーラーが保持されてしまいます。トレーラーを含まない後続のリクエストは、最初のリクエストのトレーラーを報告します。トレーラーを含む後続のリクエストは、最初のリクエストと現在のリクエストのトレーラーの和集合を報告します。
Crawl4AI 0.8.8より前のバージョンには、Docker APIサーバーに認証情報漏えいの脆弱性が含まれており、攻撃者がLLM APIコールを制御下のエンドポイントにリダイレクトし、任意の環境変数を読み取ることが可能です。攻撃者は認証されていない/md、/llm、および/llm/jobエンドポイントを悪用し、悪意のあるbase_urlパラメータを指定してapi_tokenをenv:VARIABLE_NAMEに設定することで、プロバイダーのAPIキーや認証バイパスのためのJWT SECRET_KEYなどのサーバーシークレットを漏えいさせることができます。
Open WebUIは、拡張性が高く、多機能でユーザーフレンドリーなセルフホスト型AIプラットフォームです。バージョン0.7.0から0.10.0未満の間、GET /api/v1/channels//membersがチャンネルメンバーの完全なUserModelResponseオブジェクトを返しており、その中にはsettings.ui.toolServers[].keyやWebhookの設定情報が含まれていました。これにより、通常のチャンネル参加者が他のユーザーの機密設定を取得できる可能性がありました。この問題はバージョン0.10.0で修正されました。
Apache Camel Mail コンポーネントにおける不適切な入力検証および認可されていない者への機密情報露出の脆弱性について説明します。camel-mail のプロデューサー（MailProducer.getSender）は、送信中の Exchange から mail.smtp. / mail.smtps. 名前空間のメッセージヘッダーをスキャンし、これらが存在すると、それらの値を JavaMail セッションプロパティとして適用し、エンドポイントの設定を上書きした JavaMail の送信者をメッセージごとに生成していました。この名前空間は Camel 内部専用であり、MailProducer のみが解釈しますが、HeaderFilterStrategy によってブロックされず、そのため値は任意の受信プロトコル（例：platform-http のクエリパラメータやリクエストヘッダー、あるいは JMS / Kafka の信頼されていないプロデューサーからのメッセージ）から由来し得ます。これらのヘッダーは、中間で removeHeaders による除去を経ることなく、smtp / smtps プロデューサーへとルートを介して流れます。影響の大きさはバージョンに依存します。4.19.0 より前のリリースでは、mail.smtp.host を設定すると SMTP 接続が攻撃者管理下のサーバーへリダイレクトされ、プロデューサーはエンドポイントに設定されたユーザー名とパスワードで認証するため、これらの資格情報が攻撃者に送信されてしまいます。4.19.0 以降では、プロデューサーはエンドポイント設定のホストに明示的に接続するため、影響はホストのリダイレクトではなく、通信のセキュリティ弱体化（例：mail.smtp.ssl.trust、mail.smtp.starttls.enable、mail.smtp.socks.host）や送信メッセージの傍受に限定されます。悪用には、名前空間を取り除かずに信頼できない入力を mail プロデューサーへ通すルートが必要です。本問題は Apache Camel のバージョン 4.0.0 以上 4.14.8 未満、4.15.0 以上 4.18.3 未満、4.19.0 以上 4.21.0 未満に影響します。ユーザーには、本問題を修正したバージョン 4.21.0 へのアップグレードを推奨します。4.14.x の LTS リリースを使用している場合は 4.14.8 へのアップグレードを、4.18.x リリースを使用している場合は 4.18.3 へのアップグレードを推奨しています。アップグレード後はメッセージごとの上書き機能がデフォルトで無効となるため、信頼できるエンドポイントに対してのみ useJavaMailSessionPropertiesFromHeaders=true を設定して有効化してください。すぐにアップグレードできない環境では、信頼されていない入力の侵入点と smtp / smtps プロデューサー間に removeHeaders('mail.smtp.*') および removeHeaders('mail.smtps.*') を挿入して名前空間を除去することが必要です。オプトイン有効化時でも、不信な入力を通すルートには名前空間の除去を必ず行うべきです。
脆弱性情報（JVN） よくある質問
脆弱性を製品名やベンダ名で検索できますか？
はい。製品・ベンダ・脆弱性タイプ（CWE）で全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順に表示します。
CVSS（深刻度）とは何ですか？
脆弱性の深刻さを0〜10で表す共通指標です。数値が大きいほど影響が大きく、緊急・重要・警告・注意などの区分で絞り込めます。
影響を受ける製品やベンダ企業は分かりますか？
各脆弱性の詳細ページで、影響を受ける製品・ベンダを確認できます。ベンダ名は法人検索と突き合わせて企業情報もたどれます。
情報の出典を教えてください。
JVN（IPA〔情報処理推進機構〕・JPCERT/CC 提供）の公開情報を収録しています。対応の要否は必ず各JVN詳細・公式情報でご確認ください。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全292,331件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。