脆弱性情報（JVN）検索・一覧

Windows Admin Centerのウェブページ生成中の入力が不適切に無害化されるクロスサイトスクリプティングの脆弱性により、未承認の攻撃者がネットワーク上でなりすましを行うことが可能になります。

DOMPurifyはHTML、MathML、およびSVG用のDOM専用のクロスサイトスクリプティングサニタイザです。バージョン3.4.0以前では、関数ベースのADD_TAGSを使用する場合にFORBID_TAGSとFORBID_ATTRの処理に不整合がありました。コミットc361baaでは1214行目でFORBID_ATTRのために早期終了が追加されましたが、同じ修正はFORBID_TAGSには適用されませんでした。1118行目から1123行目にかけて、EXTRA_ELEMENT_HANDLING.tagCheckがtrueを返すと短絡評価によりFORBID_TAGSのチェックが完全にスキップされます。このため、禁止された要素が属性を保ったままサニタイズをすり抜けることが可能になっていました。バージョン3.4.0でこの問題は修正されました。

pretalxは会議計画のためのツールです。2026.1.0より前のバージョンでは、pretalxのバックエンドにあるオーガナイザー検索機能が、投稿タイトル、スピーカー表示名、およびユーザー名やメールアドレスをinnerHTML文字列補間を使って結果のドロップダウンに表示していました。これらのフィールドのいずれかを操作できるユーザー（管理者により表示名が参照される登録ユーザーも含まれます）は、オーガナイザーの検索クエリが悪意のあるレコードに一致した場合に、オーガナイザーのブラウザ上で実行されるHTMLまたはJavaScriptを含めることが可能でした。この脆弱性は2026.1.0で修正されました。

pretalxはカンファレンス計画ツールです。2026.1.0より前のバージョンでは、認証されていない攻撃者がアカウント表示名などのユーザー制御テンプレートプレースホルダーに不正なHTMLやマークダウンリンク構文を埋め込むことで、pretalxインスタンスの設定された送信者アドレスから任意のHTMLレンダリングメールを送信できます。最も直接的な攻撃経路はパスワードリセットのフローであり、攻撃者は悪意のある名前でアカウントを登録し、被害者のメールアドレスを入力してパスワードリセットを誘発します。その結果送信されるメールはイベントの正当な送信者アドレスから配信され、SPF/DKIM/DMARC検証に合格するため、即席のフィッシングベクトルとなります。この脆弱性は2026.1.0で修正されました。

Astroはウェブフレームワークです。バージョン6.1.6以前では、Astroのサーバーサイドレンダリングパイプライン内のdefineScriptVars関数が、define:varsディレクティブを介してインラインscriptタグに挿入される値をサニタイズするために大文字小文字を区別する正規表現/\/script/gを使用していました。HTMLパーサはscript要素を大文字小文字を区別せずに閉じ、閉じるの前に空白や/を許容するため、攻撃者は/Script、/script 、または/script/のようなペイロードでサニタイズを回避し、任意のHTMLやJavaScriptを注入できました。この脆弱性はバージョン6.1.6で修正されました。

Dovestones Softwares ADPhonebook 4.0.1.1 には、/ADPhonebook?Department=HR エンドポイントの検索パラメータにリフレクト型クロスサイトスクリプティング（XSS）脆弱性が存在します。ユーザーから提供された入力が適切な入力検証や出力エンコーディングなしにHTTPレスポンスに反映されるため、被害者のブラウザで任意のJavaScriptが実行される可能性があります。

zrokはウェブサービス、ファイル、およびネットワークリソースを共有するためのソフトウェアです。バージョン2.0.1以前では、proxyUiテンプレートエンジンがhtml/templateではなくGoのtext/template（HTMLエスケープを行わない）を使用していました。publicProxyおよびdynamicProxyのGitHub OAuthコールバックハンドラーは、time.ParseDurationが失敗した際に攻撃者が制御するrefreshIntervalクエリパラメータをエラーメッセージにそのまま埋め込み、そのエラーをHTMLにエスケープせずにレンダリングします。攻撃者は巧妙に作成したログインURLを被害者に送信でき、被害者がGitHub OAuthフローを完了すると、コールバックページはOAuthサーバのオリジン上で任意のJavaScriptを実行します。この問題はバージョン2.0.1で修正されました。

バージョン1.7.17より前のパッケージgithub.com/yuin/goldmark/renderer/htmlには、URL検証と正規化の順序が不適切であるため、クロスサイトスクリプティング（XSS）に対する脆弱性があります。レンダラーはリンク先をプレフィックスベースのチェック（IsDangerousURL）で検証した後にHTMLエンティティを解決します。このため、攻撃者は危険なスキームをHTML5の名前付き文字参照でエンコードすることによりプロトコルフィルタリングを回避できます。たとえば、javascript&colonalert(1)のようなペイロードは検証時に危険と認識されず、URLをレンダリングするアプリケーションのコンテキストで任意のスクリプトが実行される可能性があります。

Pega Platform バージョン 8.1.0 から 25.1.1 までのバージョンは、ユーザーインターフェースコンポーネントにおけるストアドクロスサイトスクリプティングの脆弱性の影響を受けます。この脆弱性を悪用するには、開発者ロールを持つ高権限ユーザーが必要です。

Octoberはコンテンツ管理システム（CMS）およびウェブプラットフォームです。バージョン3.7.14および4.1.10以前のバージョンには、SVGサニタイズロジックに格納型クロスサイトスクリプティング（XSS）脆弱性が含まれています。イベントハンドラ属性（onclickやonloadなど）を除去するために使用される正規表現パターンは、属性の境界をマッチさせる方法を悪用した巧妙に作成されたペイロードによって回避される可能性があります。これにより、JavaScriptを埋め込んだ悪意のあるSVGファイルをメディアマネージャー経由でアップロードすることが可能になります。悪用されるとスーパーユーザーが悪意のあるSVGを表示または埋め込むことで権限昇格が発生する可能性があり、認証されたバックエンドアクセスおよびメディアのアップロード権限が必要です。ペイロードを発動させるためには、SVGがページ内で表示または埋め込まれる必要があります。この問題はバージョン3.7.14および4.1.10で修正されています。

Docmostはオープンソースの共同編集型ウィキおよびドキュメンテーションソフトウェアです。バージョン0.80.0より前のバージョンでは、ページにコメントを残す際にリンクとしてJavaScript URIを含めることが可能でした。ユーザーがそのリンクをクリックすると、JavaScriptが実行されました。この脆弱性はバージョン0.80.0で修正されました。

GitLabは、GitLab CE/EEのすべてのバージョン16.1.0から18.9.6未満、18.10の18.10.4未満、および18.11の18.11.1未満に影響する問題を修正しました。この問題では、特定の条件下で認証されていないユーザーが不適切な入力検証のためにStorybook開発環境内のトークンにアクセスできてしまう可能性がありました。

ApostropheCMSはオープンソースのNode.jsコンテンツ管理システムです。コミット49d0bb7で導入されたリグレッションは、ApostropheCMSが維持するsanitize-htmlパッケージのバージョン2.17.1に含まれており、非テキストタグ配列（textareaおよびoption）内のテキストに対するallowedTagsの適用を回避します。ApostropheCMSバージョン4.28.0は脆弱なsanitize-htmlバージョンへの依存を介して影響を受けます。packages/sanitize-html/index.jsの569-573行のコードは、htmlparser2がこれらの要素内のエンティティをデコードしないと誤って想定し、エスケープ処理をスキップしていましたが、htmlparser2の10.xはontextコールバックにテキストを渡す前にエンティティをデコードします。その結果、エンティティエンコードされたHTMLはパーサーによってデコードされ、そのままリテラルHTML文字として出力に書き込まれ、allowedTagsフィルターを完全に回避してしまいます。攻撃者はエンティティエンコードを用いて任意のタグ（XSSペイロードを含む）を許可されたoptionまたはtextarea要素を通じて注入できます。これは、formビルダーやCMSプラットフォームで一般的な、optionまたはtextareaをallowedTagsに含める非デフォルト設定に影響します。この問題はsanitize-htmlのバージョン2.17.2およびApostropheCMSのバージョン4.29.0で修正されました。

Open Source Point of Saleは、CodeIgniterフレームワークを使用してPHPで作成されたウェブベースのPOS（販売時点管理）アプリケーションです。バージョン3.4.3以前には、在庫場所の設定機能に格納型クロスサイトスクリプティング（XSS）脆弱性が存在していました。本アプリケーションはstock_locationパラメータを通じて提供されるユーザー入力を適切にサニタイズせず、攻撃者が悪意のあるJavaScriptコードをデータベースに格納し、従業員インターフェースで表示された際にそのコードが実行されることを可能にしていました。この脆弱性はバージョン3.4.3で修正されました。

wgerは無料のオープンソースのワークアウトおよびフィットネスマネージャーです。バージョン2.5およびそれ以前では、AbstractLicenseModelのattribution_linkプロパティが、ユーザーが制御するライセンスフィールド（例えばlicense_author）をエスケープせずに直接HTMLに埋め込み、そのテンプレートがDjangoの|safeフィルターを使って結果をレンダリングしていました。認証済みユーザーは、JavaScriptを含む悪意のあるlicense_author値を持つ成分（ingredient）を作成でき、そのスクリプトが成分ページを閲覧する訪問者のブラウザで実行され、保存型XSSを引き起こします。この問題はバージョン2.5で修正されました。

WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン29.0以下では、`objects/video.php:918`の`isValidDuration()`関数内の正規表現`/^[0-9]{1,2}:[0-9]{1,2}:[0-9]{1,2}/`に終端の`$`アンカーがなく、有効な期間のプレフィックスの後に任意のHTML/JavaScriptを付加することが可能でした。作成された期間はデータベースに保存され、トレンドページ、プレイリストページ、およびビデオギャラリーのサムネイルで`echo Video::getCleanDuration()`を介してHTMLエスケープなしにレンダリングされるため、保存型クロスサイトスクリプティングが発生しました。修正はコミットbcba324644df8b4ed1f891462455f1cd26822a45に含まれています。

WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン29.0以下において、AVideoの`ParsedownSafeWithLinks`クラスの不完全なXSS修正は、raw HTMLに対して`inlineMarkup`をオーバーライドしますが、`inlineLink()`や`inlineUrlTag()`をオーバーライドしないため、マークダウンリンク構文内の`javascript:` URLがサニタイズを回避してしまいます。この問題はコミットcae8f0dadbdd962c89b91d0095c76edb8aadcacfで修正されています。

WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン26.0およびそれ以前のバージョンでは、AVideoのEPG（電子番組表）機能がユーザー制御のURLからXMLを解析し、番組タイトルをサニタイズやエスケープせずに直接HTMLにレンダリングします。アップロード権限を持つユーザーは、ビデオのepg_linkを悪意のあるXMLファイルに設定でき、そのtitle要素にJavaScriptを含めることが可能です。このペイロードは公開EPGページの未認証訪問者のブラウザで実行され、セッションハイジャックやアカウント乗っ取りを引き起こします。

immichは高性能なセルフホステッドの写真およびビデオ管理ソリューションです。バージョン2.7.3以前には、共有アルバム機能にオープンリダイレクトの脆弱性が存在しており、アルバム名がapi.service.tsのmetaタグに無加工で挿入されていました。登録済みの攻撃者は、「0;url=https://attackersite.com" http-equiv="refresh"」を含む細工された名前の共有アルバムを作成でき、これがmeta property="og:title"タグにレンダリングされると、被害者のブラウザが共有リンクを開いた際に攻撃者が制御するサイトへリダイレクトされます。これにより、攻撃者は共有アルバムを見るために認証が必要だと信じてしまう被害者からログイン資格情報を収集する改変版immichをホストするフィッシング攻撃を行うことが可能になります。この問題はバージョン2.7.3で修正されました。

Prometheusはオープンソースの監視システムおよび時系列データベースです。バージョン3.0から3.5.1および3.6.0から3.11.1には、PrometheusのWeb UIの複数のコンポーネントにクロスサイトスクリプティングの脆弱性が存在し、メトリクス名やラベル値がエスケープされることなくinnerHTMLに挿入されていました。Mantine UIおよび旧React UIの両方において、GraphページのチャートツールチップはHTMLやJavaScriptを含むメトリクス名をサニタイズせずにレンダリングします。旧React UIでは、Metric Explorerのあいまい検索結果がエスケープされずにdangerouslySetInnerHTMLを使用し、ヒートマップのセルツールチップがラベル値をサニタイズせずに補間します。Prometheus v3.xでは、UTF-8のメトリクス名およびラベル名のバリデーションがデフォルトで有効になっており、""や""、"\""などの文字がメトリクス名およびラベルで有効になっています。攻撃者がスクレイプターゲット、リモートライト、OTLPレシーバーエンドポイントのいずれかを不正に操作してメトリクスを注入できる場合、Graph UIでそのメトリクスを確認する任意のPrometheusユーザーのブラウザ上で任意のJavaScriptが実行され、不正な設定の窃取やデータ削除、またはフラグの設定次第でPrometheusの停止が可能になる恐れがあります。この問題はバージョン3.5.2および3.11.2で修正されています。開発者がすぐに更新できない場合は、次の回避策を推奨します。リモートライトレシーバー（--web.enable-remote-write-receiver）およびOTLPレシーバー（--web.enable-otlp-receiver）を信頼されていないソースに対して公開しないこと、すべてのスクレイプターゲットが信頼でき、攻撃者の制御下にないことを確認すること、信頼できないデータが取り込まれる環境で管理者または変更可能なAPIエンドポイント（例：--web.enable-admin-apiや--web.enable-lifecycle）を有効にしないこと、およびlabel_replaceなどの関数を含む不審なリンクをクリックしないこと（これらは汚染されたラベル名や値を生成する可能性があります）です。

FreeScoutは無料のセルフホステッドヘルプデスクおよび共有メールボックスです。バージョン1.8.213以前のFreeScoutのapp/Misc/Helper.php内のlinkify()関数は、メール本文内のプレーンテキストURLをHTMLアンカータグに変換する際にURL内の二重引用符（"）をエスケープしません。HTMLPurifier（getCleanBody()を介して最初に呼び出されます）はテキストノード内のリテラルの"文字を保持します。linkify()はその後、これらの"文字を含むURLをエスケープされていないhref="..."属性内にラップし、href属性を破壊して任意のHTML属性を注入してしまいます。この問題はバージョン1.8.213で修正されました。

JavaScriptエンジンコンポーネントにおけるその他の問題です。この脆弱性はFirefox 150およびThunderbird 150で修正されました。

Adobe Connectのバージョン2025.3、12.10およびそれ以前のバージョンは、反射型クロスサイトスクリプティング（XSS）脆弱性の影響を受けます。この脆弱性により、攻撃者が被害者に脆弱なページを参照するURLへアクセスさせると、悪意のあるJavaScriptコードが被害者のブラウザのコンテキスト内で実行される可能性があります。スコープが変更されました。

Adobe Connect バージョン 2025.3、12.10 およびそれ以前には、リフレクティッド クロスサイトスクリプティング（XSS）の脆弱性があります。攻撃者が被害者に脆弱なページを参照する URL を訪問させると、悪意のある JavaScript コンテンツが被害者のブラウザのコンテキスト内で実行される可能性があります。影響範囲が変更されました。

Adobe Connectのバージョン2025.3、12.10およびそれ以前のバージョンは、反射型クロスサイトスクリプティング（XSS）の脆弱性に影響を受けます。攻撃者が被害者に脆弱なページを参照するURLを訪問させることに成功した場合、悪意のあるJavaScriptコンテンツが被害者のブラウザのコンテキスト内で実行される可能性があります。本脆弱性の範囲が変更されました。

Adobe Connect バージョン 2025.3、12.10 およびそれ以前のバージョンには、DOM ベースのクロスサイトスクリプティング（XSS）脆弱性が存在します。攻撃者はこの問題を悪用して DOM 環境を操作し、被害者のブラウザのコンテキスト内で悪意のある JavaScript を実行できます。この問題を悪用するにはユーザーの操作が必要であり、被害者が細工されたウェブページを訪問する必要があります。影響範囲が変更されました。

Adobe Connectのバージョン2025.3、12.10およびそれ以前のバージョンには、リフレクト型クロスサイトスクリプティング（XSS）の脆弱性があります。攻撃者が被害者に脆弱なページを参照するURLを訪問させることに成功すると、悪意のあるJavaScriptが被害者のブラウザのコンテキスト内で実行される可能性があります。スコープが変更されています。

LibreNMS のバージョン 26.3.0 未満は、showconfig ページにおいて認証済みのクロスサイトスクリプティングの脆弱性の影響を受けます。この攻撃を成功させるには管理者権限が必要です。悪用されると、このページにアクセスする他のユーザーに対して XSS 攻撃を仕掛ける可能性があります。

ウェブページ生成時の入力の適切な中和が不足しているため、イベントコメントを介して格納型クロスサイトスクリプティングの脆弱性が発生します。この問題はPandora FMSのバージョン777から800に影響を及ぼします。

認証エンドポイントは、ユーザーから提供された入力を適切に検証せずにレスポンスに反映します。これにより、攻撃者は入力パラメータに悪意のあるスクリプトペイロードを注入でき、被害者のブラウザでそれが実行されます。悪用に成功すると、攻撃者はユーザーのブラウザを悪意のあるウェブサイトにリダイレクトしたり、ウェブページのUIを変更したり、ブラウザから情報を取得したりすることが可能になります。しかし、httpOnlyフラグによってセッション関連の機密クッキーが保護されているため、セッションハイジャックのリスクは限定的です。

WSO2 API Managerの開発者ポータルは、期待される検証制約や適切な出力エンコーディングを強制せずにユーザー提供の入力を受け入れます。この欠陥により、悪意のある攻撃者がユーザーのブラウザのコンテキスト内でスクリプトコンテンツを実行できるように注入可能になります。このクロスサイトスクリプティング脆弱性を利用すると、悪意のある攻撃者はブラウザを悪意のあるウェブサイトにリダイレクトしたり、ウェブページのUIを変更したり、ブラウザから情報を取得したりできます。ただし、すべてのセッション関連の機密クッキーはhttpOnlyフラグで保護されているため、セッションハイジャックは不可能です。

認証エンドポイントは、ユーザーが提供した入力をウェブページに表示する前にエンコードしないため、スクリプトの注入を許容します。攻撃者はこれを利用して、認証エンドポイントに悪意のあるスクリプトを注入できます。これにより、ユーザーのブラウザが悪意のあるウェブサイトにリダイレクトされたり、ウェブページのユーザーインターフェースが操作されたり、ブラウザから情報が取得されたりする可能性があります。ただし、httpOnlyフラグがセッション関連のクッキーを保護しているため、セッションハイジャックは不可能です。