脆弱性情報（JVN）検索・一覧

Windowsファイルエクスプローラーにおける機密情報の不正なアクターへの露出により、権限を持つ攻撃者がローカルで情報を開示できる問題です。

Windowsファイルエクスプローラーにおいて機密情報が不正な第三者に露出し、認可された攻撃者がローカルで情報を開示できる脆弱性が存在します。

Windowsリモートプロシージャコールにおける機密情報の不正なアクターへの露出により、認可された攻撃者がローカルで情報を開示できるようになります。

Windows Shellにおいて機密情報が不正アクセス者に漏洩することで、権限を持つ攻撃者がネットワークを通じて情報を開示できる問題が発生します。

ApostropheCMSはオープンソースのNode.jsコンテンツ管理システムです。バージョン4.28.0以前には、REST APIのchoicesおよびcountsクエリパラメータに認可バイパスの脆弱性が存在していました。これらのクエリビルダーはMongoDBのdistinct()操作を実行し、公開されるフィールドを制限するためのpublicApiProjection制約を回避します。choicesおよびcountsパラメータはprojectionが適用される前にapplyBuildersSafelyを介して処理されますが、MongoDBのdistinct操作はprojectionを尊重しないため、すべての異なる値を直接返してしまいます。その結果はpublicApiProjectionやremoveForbiddenFieldsによるフィルタリングなしにAPI応答で返されます。認証されていない攻撃者は、文字列、整数、浮動小数点数、セレクト、ブール値、日付、スラッグ、リレーションシップフィールドを含む登録されたクエリビルダーを持つ任意のスキーマフィールドのすべての異なるフィールド値を抽出できます。viewPermissionで保護されたフィールドも同様に公開され、counts変種では各異なる値を持つドキュメント数も明らかになります。piece-typeおよびpageのREST APIの両方が影響を受けます。この問題はバージョン4.29.0で修正されました。

PraisonAIはマルチエージェントチームシステムです。バージョン4.5.128以前のAgentOSデプロイメントプラットフォームでは、認証されていない呼び出し元に対してエージェント名、役割、およびエージェントシステム指示の最初の100文字を返すGET /api/agentsエンドポイントが公開されていました。AgentOSのFastAPIアプリケーションには認証ミドルウェアがなく、APIキー検証も実装されていませんでした。また、デフォルトでCORSのallow_origins=["*"]およびhost="0.0.0.0"が設定されているため、あらゆるデプロイメントがデフォルトでネットワーク経由でアクセス可能であり、任意のオリジンからクエリ可能な状態になっていました。この脆弱性はバージョン4.5.128で修正されました。

Fortinet FortiNDR 7.6.0、FortiNDR 7.4.0 から 7.4.8、FortiNDR 7.2 の全バージョン、FortiNDR 7.1 の全バージョン、FortiNDR 7.0 の全バージョン、および FortiVoice 7.0.0 から 7.0.1 において、機密情報への不正アクセスの脆弱性が存在します。システムメンテナンス中に、少なくとも読み取り専用権限を持つリモート認証済み攻撃者が細工されたHTTPリクエストを介してバックアップ情報にアクセスできる可能性があります。

Grafanaのアラートシステムにおいて、連絡先ポイントの編集権限を持つユーザー、具体的には固定ロール「Contact Point Writer」の一部として付与される「alert.notifications:write」または「alert.notifications.receivers:test」の権限を持つユーザーは、他のユーザーが作成した連絡先ポイントを編集し、エンドポイントURLを攻撃者が管理するサーバーに変更できます。テスト機能を実行すると、攻撃者はSlackトークンのようなサードパーティサービスの認証情報など、非表示の安全設定を取得・抽出することが可能です。これにより、外部との連携が不正にアクセスされ、潜在的な侵害が発生します。

Altenar Sportsbook Software Platform (SB2) バージョン2.0にはクロスサイトスクリプティングの脆弱性が存在し、それによりリモートの攻撃者がURLパラメータを介して機密情報を取得し、任意のコードを実行できます。

`access_key`と`connection_string`の接続プロパティがシークレットマスカーでセンシティブな名前として正しくマークされていませんでした。これは、読み取り権限を持つユーザーが接続UIでその値を確認できることを意味しており、さらに接続が誤ってログに記録された場合に、これらの値がログに表示される可能性があることを示しています。Azure Service Busはこれらのプロパティを使用してセンシティブな値を保存していました。同じフィールドをセンシティブなデータの保存に使用している他のプロバイダーも影響を受ける可能性があります。これらの値を設定したAzure Service Bus接続を使用している場合、またはこれらの値にセンシティブな値を保存している他の接続がある場合は、Airflowを3.1.8にアップグレードする必要があります。

Windows Snipping Toolにおける機密情報が不正な第三者に露出することにより、不正な攻撃者がネットワーク上でなりすましを行うことが可能になります。

WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン26.0およびそれ以前のバージョンでは、plugin/CloneSite/client.log.phpエンドポイントが認証なしでクローン操作ログファイルを提供してしまいます。CloneSiteプラグインディレクトリ内の他のすべてのエンドポイントはUser::isAdmin()を強制しています。このログには内部ファイルシステムのパス、リモートサーバーのURL、およびSSH接続のメタデータが含まれています。

Discourseはオープンソースのディスカッションプラットフォームです。バージョン2026.1.0から2026.1.3未満、2026.2.0から2026.2.2未満、および2026.3.0から2026.3.0未満において、モデレーターが管理者のみが利用可能なレポートの表示制限を回避してCSVデータをエクスポートできる問題がありました。これにより、管理者だけがアクセスすべき機密の運用データが漏洩する可能性がありました。この問題はバージョン2026.1.3、2026.2.2、および2026.3.0で修正されています。

Discourseはオープンソースのディスカッションプラットフォームです。バージョン2026.1.0から2026.1.3未満、2026.2.0から2026.2.2未満、および2026.3.0から2026.3.1未満の間に、権限なしにチャットユーザー検索からチャンネルメンバーシップを推測できる問題があります。この問題はバージョン2026.1.3、2026.2.2、および2026.3.1で修正されています。

Discourseはオープンソースのディスカッションプラットフォームです。バージョン2026.1.0-latestから2026.1.3未満、2026.2.0-latestから2026.2.2未満、および2026.3.0-latestから2026.3.0未満において、スタッフ専用の投稿に対して非スタッフユーザーが閲覧すべきでない既読情報にアクセスできる問題がありました。投稿内容は露出せず、誰がいつ投稿を読んだかというメタデータのみが影響を受けていました。この問題はバージョン2026.1.3、2026.2.2、および2026.3.0で修正されています。

Discourseはオープンソースのディスカッションプラットフォームです。バージョン2026.1.0-latestから2026.1.3未満、2026.2.0-latestから2026.2.2未満、及び2026.3.0-latestから2026.3.0未満の間、認証済みユーザーがshared draftsカテゴリに一致するcategory_idパラメータを含むインラインワンボックスリクエストを送信すると、共有ドラフトのトピックタイトルを取得できる問題がありました。この問題はバージョン2026.1.3、2026.2.2、および2026.3.0で修正されています。

Discourseはオープンソースのディスカッションプラットフォームです。バージョン2026.1.0-latestから2026.1.3未満、2026.2.0-latestから2026.2.2未満、及び2026.3.0-latestから2026.3.0未満において、Category Chatables Controllerのshowアクションで認可バイパスが発生し、モデレーターが非表示グループの名前やユーザー数の情報を取得できる問題が発生していました。この問題はバージョン2026.1.3、2026.2.2、および2026.3.0で修正されています。

StatamicはLaravelおよびGitをベースとしたコンテンツ管理システム（CMS）です。バージョン5.73.16および6.7.2より前では、markdownプレビューエンドポイントが操作され、任意のフィールドタイプから拡張データを返すことが可能でした。特にusersフィールドタイプにおいては、認証済みのコントロールパネルユーザーが、メールアドレス、暗号化されたパスキー情報、および暗号化された二要素認証コードを含む機微なユーザーデータを取得できる可能性がありました。この問題はバージョン5.73.16および6.7.2で修正されています。

Signal K Serverは、ボートの中央ハブ上で動作するサーバーアプリケーションです。バージョン2.24.0以前には、`from`フィールドのバイパスによって任意のプロトタイプ読み取り脆弱性が存在していました。この脆弱性により、権限の低い認証ユーザーがプロトタイプ境界のフィルタリングを回避し、グローバルプロトタイプオブジェクトから内部の関数やプロパティを抽出できました。その結果、データの分離が侵害され、ユーザーが本来読むべきでない情報を読み取ることが可能となっていました。この問題はバージョン2.24.0で修正されました。

changedetection.ioは無料のオープンソースのウェブページ変更検出ツールです。バージョン0.54.7以前では、`jq:`および`jqraw:`のインクルードフィルター式でjqの`env`組み込み関数を使用できました。その結果、すべてのプロセス環境変数が読み取られ、監視スナップショットとして保存されてしまっていました。認証ユーザー（またはパスワードが設定されていない場合の未認証ユーザーであり、これがデフォルト設定です）は、`SALTED_PASS`、`PLAYWRIGHT_DRIVER_URL`、`HTTP_PROXY`などの機密環境変数およびコンテナにenv変数として渡されたあらゆる秘密情報を漏洩させる可能性がありました。この問題はバージョン0.54.7で修正されました。

XenForoのバージョン2.3.7より前のバージョンでは、共有システムにおけるローカルアカウントページのキャッシュを通じて情報漏洩が発生します。複数のユーザーがブラウザや機器を共有するシステムでは、キャッシュされたアカウントページが他のローカルユーザーに対して機密情報を露呈する可能性があります。

Google Chromeの146.0.7680.178以前のバージョンにおけるWebGLの不適切な実装により、リモートの攻撃者が細工されたHTMLページを通じてプロセスメモリから潜在的に機密性の高い情報を取得できる可能性がありました。

LibreChatは追加機能を備えたChatGPTのクローンです。バージョン0.8.2-rc1から0.8.3-rc1の間では、ユーザーが作成したMCP（Model Context Protocol）サーバーが任意のHTTPヘッダーを含めることが可能で、これらのヘッダーは認証情報のプレースホルダー置換を受けます。攻撃者は`{{LIBRECHAT_OPENID_ACCESS_TOKEN}}`などを含むヘッダーを持つ悪意のあるMCPサーバーを作成し、そのサーバー上のツールを呼び出す被害者のOAuthトークンを流出させる可能性があります。この問題はバージョン0.8.3-rc2で修正されました。

HCL Aftermarket DPCは内部IP情報漏洩の脆弱性の影響を受けており、攻撃者に組織のネットワーク構成図をより明確に提供してしまう恐れがあります。

HCL Aftermarket DPCはバナーディスクロージャの脆弱性の影響を受けており、この脆弱性により攻撃者はシステムのソフトウェアおよびバージョンの詳細を把握できます。その結果、特定のソフトウェアを対象とした攻撃を仕掛けることが可能になります。

Splunk Enterpriseのバージョン10.2.0未満、10.0.3、9.4.9、および9.3.10、並びにSplunk Cloud Platformのバージョン10.2.2510.5未満、10.1.2507.16、10.0.2503.11、および9.3.2411.123において、権限の低いユーザーが「admin」または「power」のSplunkロールを持たずに、`/splunkd/__raw/servicesNS/-/-/configs/conf-passwords` REST APIエンドポイントにアクセスできる問題が存在しました。このエンドポイントは、passwords.conf構成ファイルに保存されているハッシュ化またはプレーンテキストのパスワード値を不適切なアクセス制御により公開してしまいます。この脆弱性により、機密資格情報が不正に漏洩する可能性があります。

Discourseはオープンソースのディスカッションプラットフォームです。バージョン2026.3.0-latest.1、2026.2.1、および2026.1.2以前のバージョンにおいて、ユーザーアクションのエンドポイントで認可チェックが不十分であったため、ユーザーが他のユーザーのプライベートな活動にアクセスできる可能性がありました。この問題はバージョン2026.3.0-latest.1、2026.2.1、および2026.1.2で修正されています。

Discourseはオープンソースのディスカッションプラットフォームです。バージョン2026.3.0-latest.1、2026.2.1、および2026.1.2以前では、ユーザーが`hide_profile`を有効にしている場合でも、ユーザーのバイオ、所在地、ウェブサイトがユーザーワンボックスプレビューを通じて依然として公開されていました。認証されたユーザーは、非表示ユーザーのプロフィールURLに対してワンボックスリクエストを行い、応答内で非表示のプロフィールフィールド（バイオ、所在地、ウェブサイト）を取得することが可能でした。バージョン2026.3.0-latest.1、2026.2.1、および2026.1.2にはこの問題を修正するパッチが含まれています。既知の回避策は存在しません。

Discourseはオープンソースのディスカッションプラットフォームです。バージョン2026.3.0-latest.1、2026.2.1、および2026.1.2より前のバージョンでは、`/private-posts`エンドポイントが投稿タイプの可視性フィルタリングを適用していませんでした。そのため、通常のPM参加者がアクセス権を持つPMトピック内のウィスパーポストを閲覧できてしまう問題がありました。バージョン2026.3.0-latest.1、2026.2.1、および2026.1.2にはこの問題を修正するパッチが含まれています。既知の回避策は存在しません。

Discourseはオープンソースのディスカッションプラットフォームです。バージョン2026.3.0-latest.1、2026.2.1および2026.1.2より前のバージョンでは、レビューキューにアクセスできるすべてのユーザーに対して、フラグが立てられたユーザーの`ip_address`が公開されており、IPアドレスを見てはいけないユーザーにも見えてしまう問題がありました。バージョン2026.3.0-latest.1、2026.2.1および2026.1.2には修正パッチが含まれています。既知の回避策は存在しません。

プライバシーの問題は機微なデータを削除することで対処されました。この問題はiOS 18.7.7およびiPadOS 18.7.7、iOS 26.4およびiPadOS 26.4、macOS Sonoma 14.8.5、macOS Tahoe 26.4、tvOS 26.4、visionOS 26.4、watchOS 26.4で修正されています。アプリがユーザーのインストール済みアプリを列挙できる可能性がありました。

Parse Serverは、Node.jsを実行できる任意のインフラストラクチャにデプロイ可能なオープンソースのバックエンドです。バージョン8.6.61および9.6.0-alpha.55より前のバージョンでは、認証済みユーザーがGET /users/meを呼び出すと、MFAのTOTPシークレットやリカバリーコードなどの機密資格情報を含む未処理の認証データが返されてしまいます。このエンドポイントは内部的にセッションクエリにマスターレベルの認証を使用しており、そのマスターコンテキストがユーザーデータに漏れて認証アダプターのサニタイズを回避しています。攻撃者がユーザーのセッショントークンを取得すると、MFAシークレットを抽出し、無期限に有効なTOTPコードを生成できるようになります。この問題はバージョン8.6.61および9.6.0-alpha.55で修正されています。

Splunk Enterpriseのバージョン10.2.1未満および10.0.4未満、並びにSplunk Cloud Platformのバージョン10.2.2510.5未満、10.1.2507.16未満、および10.0.2503.12未満において、管理者("admin")またはパワーユーザー("power")のSplunkロールを持たない低権限ユーザーが、不適切なアクセス制御によりDiscover Splunk Observability Cloudアプリを通じてObservability Cloud APIアクセス・トークンを取得できてしまう脆弱性があります。この脆弱性は、Discover Splunk Observability CloudアプリがSplunk Enterpriseに含まれていないため、Splunk Enterpriseのバージョン9.4.9未満および9.3.10未満には影響しません。

BlinkoはAI搭載のカードノート作成プロジェクトです。バージョン1.8.4より前では、公開アクセス可能なエンドポイントがすべてのユーザー情報（ユーザー名、役割、アカウント作成日を含む）を公開していました。この問題はバージョン1.8.4で修正されています。