脆弱性情報（JVN）検索・一覧

LORIS（Longitudinal Online Research and Imaging System）は、神経画像研究のデータおよびプロジェクト管理を提供するセルフホスト型のウェブアプリケーションです。バージョン15.10から27.0.3および28.0.1の直前までの間に、survey_accountsモジュールにおいてユーザーが無効な訪問ラベルを提供した場合にクロスサイトスクリプティング攻撃が発生する可能性がありました。データ自体は適切にJSONエンコードされていますが、Content-Typeヘッダーが設定されていないため、ウェブブラウザがペイロードをHTMLとして解釈します。そのため、不正なリンクをユーザーが誤ってクリックするとクロスサイトスクリプティングが発生する恐れがあります。この脆弱性はバージョン27.0.3および28.0.1で修正されました。

CI4MSはCodeIgniter 4ベースのCMSスケルトンであり、RBAC認可とテーマサポートを備え、本番環境に対応したモジュラーアーキテクチャを提供します。0.31.4.0以前のバージョンでは、compInfosPost()内のGoogle Mapsのiframe設定（cMapフィールド）において、iframeの許可リストと正規表現によるon\w+イベントハンドラの除去を用いたstrip_tags()で入力をサニタイズしていました。しかし、srcdoc属性はイベントハンドラではないため、すべてのフィルターを通過してしまいます。管理者設定へのアクセス権を持つ攻撃者は、HTMLエンティティエンコードされたJavaScriptを含む<iframe srcdoc="...">のペイロードを注入でき、これが認証されていないフロントエンド訪問者にレンダリングされる際に親ページのコンテキストで実行されます。この脆弱性は0.31.4.0で修正されました。

Fortinet FortiSandbox 5.0.0から5.0.5、FortiSandbox 4.4.0から4.4.8、FortiSandbox 4.2の全バージョン、FortiSandbox PaaS 5.0.0から5.0.5、FortiSandbox PaaS 4.4.0から4.4.8、FortiSandbox PaaS 4.2の全バージョンには、ウェブページ生成時の入力を適切に無害化できないクロスサイトスクリプティングの脆弱性があります。この脆弱性により、攻撃者はinsert attack vector hereを介して不正なコードやコマンドを実行する可能性があります。

DeepL Chrome拡張機能には次の脆弱性が存在します。 ・クロスサイトスクリプティング（CWE-79）- CVE-2026-40451 この脆弱性情報は、下記の方からの報告により、JPCERT/CCが開発者との調整を行いました。 報告者：サイボウズ株式会社 湯浅 潤樹 氏（JPCERT/CCに報告） 報告者：GMOサイバーセキュリティ ｂｙイエラエ株式会社 山崎 啓太郎 氏（情報セキュリティ早期警戒パートナーシップに基づきIPAに報告）

Progress Flowmonのバージョン12.5.8および13.0.6より前のバージョンには脆弱性が存在します。攻撃者から提供された悪意のあるリンクを管理者がクリックすると、認証済みのウェブセッション内で意図しない操作が誤って実行される可能性があります。

Notesnookは、ユーザーのプライバシーと使いやすさに重点を置いたノート作成アプリです。バージョン3.3.17より前のバージョンには、モバイル共有およびウェブクリップのフローに格納型クロスサイトスクリプティング（XSS）脆弱性が存在していました。この脆弱性は、攻撃者が操作するクリップのメタデータが適切にエスケープ処理されずにHTMLに連結され、モバイル共有エディターのWebView内でinnerHTMLを使ってレンダリングされることが原因です。攻撃者は共有タイトルのメタデータ（例えば、AndroidやiOSの共有メタデータのTITLEやSUBJECT、またはリンクプレビューのタイトルデータなど）を操作し、/aimg src=x onerror=...のようなHTMLを注入することができます。被害者がNotesnookの共有フローを開いてウェブクリップを選択すると、ペイロードが生成されたHTMLに挿入され、モバイルエディターのWebView内で実行されます。この問題はバージョン3.3.17で修正されています。

ApostropheCMSはオープンソースのNode.jsコンテンツ管理システムです。バージョン4.28.0以前には@apostrophecms/color-fieldモジュールに保存型クロスサイトスクリプティングの脆弱性が存在していました。これは、--で始まるカラー値がCSSカスタムプロパティ用に意図されたTinyColorの検証を回避し、launder.string()呼び出しがHTMLのメタ文字を除去せず型の強制変換のみを行うためです。これらの未検証の値は、すべての訪問者にレンダリングされるウィジェット単位のスタイル要素および編集者にレンダリングされるグローバルスタイルシートのstyleタグに直接連結され、出力は安全なHTMLとしてマークされます。編集者は値を注入してstyleタグを閉じ、影響を受けるウィジェットを含む任意のページのすべての訪問者のブラウザで任意のJavaScriptを実行できます。これにより、大量のセッションハイジャックやクッキーの窃取、管理者がドラフトコンテンツを閲覧した場合の管理権限の権限昇格が可能となります。この問題はバージョン4.29.0で修正されました。

Hugoは静的サイトジェネレーターです。バージョン0.60.0から0.159.2未満の間、デフォルトのMarkdownからHTMLへのレンダラーにおいて、リンクと画像リンクが適切にエスケープされていませんでした。Markdownの内容を信頼しているHugoユーザーや、リンクおよび画像に対してカスタムレンダーフックを持つユーザーは影響を受けません。この脆弱性はバージョン0.159.2で修正されました。

MaxKBは企業向けのオープンソースAIアシスタントです。バージョン2.7.1以下には、アプリケーション作成時のアプリケーション名またはアイコンフィールドを通じたストアドクロスサイトスクリプティング（XSS）脆弱性が含まれています。被害者が公開チャットインターフェース（/ui/chat/{access_token}）を訪れると、ChatHeadersMiddlewareはアプリケーションデータを取得し、エスケープされていないアプリケーション名およびアイコンを文字列置換によって直接HTMLレスポンスに挿入します。これにより、攻撃者は被害者のブラウザコンテキストで任意のJavaScriptを実行できます。この問題はバージョン2.8.0で修正されました。

MaxKBは企業向けのオープンソースAIアシスタントです。バージョン2.7.1以下には、フロントエンドのMdRenderer.vueコンポーネントがLLMの応答やアプリケーションプロローグ設定からカスタムのiframe_renderタグを解析し、標準のMarkdownサニタイズおよびXSSフィルタリングを回避するストアドクロスサイトスクリプティング（XSS）の脆弱性が含まれていました。未サニタイズのHTMLコンテンツがIframeRender.vueコンポーネントに渡され、sandbox="allow-scripts allow-same-origin"の設定がされたsrcdoc属性を使って直接iframe内にレンダリングされます。これは危険な組み合わせであり、注入されたスクリプトがiframeを脱出してwindow.parentを使い、親ウィンドウでJavaScriptを実行できる可能性があります。プロローグはアプリケーションのチャットインターフェースを訪れるすべてのユーザーに対してレンダリングされるため、これによりセッションハイジャック、不正な操作、機密データの漏洩が引き起こされる高インパクトなストアドXSSが発生しました。この問題はバージョン2.8.0で修正されました。

SiYuanはオープンソースの個人知識管理システムです。バージョン3.6.1から3.6.3にかけて、bazaarのREADMEレンダリングに関するXSSの以前の修正でLute HTMLサニタイザーが有効になりましたが、このサニタイザーはiframeタグをブロックせず、URLプレフィックスのブロックリストはsrcdoc属性を効果的にフィルタリングできませんでした。悪意のあるbazaarパッケージの作成者は、READMEに埋め込みスクリプトを含むsrcdoc属性付きiframeを挿入できます。これにより、他のユーザーがSiYuanのマーケットプレイスUIでそのパッケージを閲覧すると、ペイロードがElectronコンテキスト内でフルアプリケーション権限を持って実行され、ユーザーのマシン上で任意のコードが実行される可能性がありました。この問題はバージョン3.6.4で修正されました。

Bluditはページ作成機能においてストアドクロスサイトスクリプティング（XSS）の脆弱性があります。認証済みでページ作成権限（著者、編集者、管理者など）を持つ攻撃者は、新規作成された記事のtagsフィールドに悪意のあるJavaScriptペイロードを埋め込むことができます。このペイロードは、被害者がアップロードされたリソースのURLにアクセスした際に実行されます。アップロードされたリソース自体は認証なしでアクセス可能です。特に、この脆弱性は被害者が十分な権限を持つ場合に、新たなサイト管理者を自動的に作成するために利用される可能性があります。ベンダーはこの脆弱性について早期に通知を受けましたが、脆弱性の詳細や影響を受けるバージョン範囲についての回答はありませんでした。バージョン3.17.2及び3.18.0のみがテストされて脆弱であることが確認されており、その他のバージョンは未テストであるため、脆弱である可能性があります。

'/api/v1/files/images/{flow_id}/{file_name}' エンドポイントは、内容をサニタイズせずに 'image/svg+xml' コンテンツタイプでSVGファイルを提供します。SVGファイルには埋め込みJavaScriptが含まれる可能性があり、攻撃者は悪意のあるSVGをアップロードして他のユーザーが閲覧した際に任意のJavaScriptを実行させ、保存型クロスサイトスクリプティング（XSS）を引き起こすことができます。これにより、JWTのアクセスおよびリフレッシュトークンを含む、クッキーに保存された認証トークンを盗むことが可能になります。

MLflowは、YAMLベースのMLmodelアーティファクトの解析に不安全な処理があるため、格納型クロスサイトスクリプティング（XSS）の脆弱性を含んでいます。認証された攻撃者は、悪意のあるMLmodelファイルをアップロードでき、別のユーザーがUIでそのアーティファクトを閲覧した際にペイロードが実行されます。これにより、攻撃者はセッションハイジャックを行ったり、被害者の代わりに操作を行ったりすることが可能となります。この問題はMLflowのバージョン3.10.1までに影響します。

MyBB Like Plugin 3.0.0にはクロスサイトスクリプティングの脆弱性があり、攻撃者は検証されていない件名の内容を使って投稿やスレッドを作成することで悪意のあるスクリプトを注入できます。攻撃者はスクリプトタグを含む投稿の件名を作成でき、他のユーザーが攻撃者のプロフィールを閲覧した際にそのスクリプトが実行されます。プロフィールにはサニタイズされていないいいねされた投稿が表示されるため、脆弱性が悪用される可能性があります。

MyBB Last User's Threads in Profile Plugin 1.2には永続的なクロスサイトスクリプティングの脆弱性が存在し、攻撃者がスレッドの件名にスクリプトタグを巧妙に埋め込むことで悪意のあるスクリプトを注入できます。攻撃者は件名フィールドにスクリプトペイロードを含むスレッドを作成し、ユーザーが攻撃者のプロフィールページを訪問した際にスクリプトが実行されます。

Leafletのバージョン1.9.4まで（含む）には、bindPopup()メソッドを介したクロスサイトスクリプティング（XSS）の脆弱性があります。このメソッドはユーザーから提供された入力をサニタイズせずに生のHTMLとしてレンダリングするため、攻撃者はイベントハンドラー属性（例えば、img src=x onerror="alert('XSS')"）を通じて任意のJavaScriptコードを注入できます。被害者が影響を受けるマップのポップアップを表示すると、悪意のあるスクリプトが被害者のブラウザセッションのコンテキストで実行されます。

MDwikiにはクロスサイトスクリプティングの脆弱性があり、リモートの攻撃者がlocationハッシュパラメータを介して悪意のあるコードを注入し、任意のJavaScriptを実行できます。攻撃者は、ハッシュフラグメント内にJavaScriptペイロードを含むURLを作成でき、そのURLはサニタイズされることなく解析およびレンダリングされるため、注入されたスクリプトが被害者のブラウザコンテキストで実行されます。

Cisco Secure Firewall ASAソフトウェアおよびCisco Secure Firewall Threat Defense（FTD）ソフトウェアのSAML 2.0シングルサインオン（SSO）機能に脆弱性が存在し、認証されていないリモート攻撃者がSAML機能に対してクロスサイトスクリプティング（XSS）攻撃を実行し、ブラウザ上の機密情報にアクセスできる可能性があります。この脆弱性は複数のHTTPパラメータの入力検証が不十分であることに起因します。攻撃者はユーザーに悪意のあるリンクにアクセスさせることで、この脆弱性を悪用できます。成功した攻撃により、影響を受けるデバイスを通じてリフレクトされたXSS攻撃を実行することが可能となります。

SEPPmail Secure Email Gateway バージョン15.0.3以前には、新しいCA証明書に関する通知メールにHTMLが注入される脆弱性があります。

リフレクティッドクロスサイトスクリプティング（XSS）は、LimeSurveyのバージョン6.15.11+250909以前に影響を及ぼします。この脆弱性は、application/models/QuestionCreate.phpのgetInstance()関数内でgidパラメータの検証が不足していることに起因します。この脆弱性により、攻撃者は悪意のあるURLを作成し、ログイン中のユーザーを乗っ取ることが可能になります。

Limesurvey v.6.15.20+251021にはクロスサイトスクリプティングの脆弱性が存在し、リモートの攻撃者がBox[title]およびbox[url]パラメータを介して任意のコードを実行できる可能性があります。

JSテンプレートリテラルのテンプレート分岐間でコンテキストが適切に追跡されておらず、分岐が使用された場合にコンテンツのエスケープが正しく行われない可能性がありました。さらに、JSテンプレートリテラル内のテンプレートアクションは中括弧の深さを適切に追跡しておらず、不正確なエスケープが適用されることがありました。これらの問題により、JSテンプレートリテラル内のアクションが誤ってまたは不適切にエスケープされるため、XSSの脆弱性が発生する可能性があります。

Phoca Maps コンポーネントのバージョン 5.0.0 から 6.0.2 にかけて、マップおよびアイコンのレンダリングロジックに複数の格納型クロスサイトスクリプティング（XSS）脆弱性が存在していることが発見されました。

Hayabusaのバージョン3.8.0未満には、HTMLレポート出力にクロスサイトスクリプティング（XSS）脆弱性が存在します。この脆弱性により、悪意のある内容を含むJSONエクスポートされたログのComputerフィールドをユーザーがスキャンすると、攻撃者が任意のJavaScriptを実行できる可能性があります。攻撃者は、生成されたHTMLレポートを閲覧する際にフォレンジック調査者のブラウザセッション内で実行されるJavaScriptをJSONログのComputerフィールドに注入し、情報漏洩やコード実行を引き起こす可能性があります。

gunet Open eClass v3.11のCourses/Work Assignmentsモジュールに認証された任意ファイルアップロードの脆弱性が存在し、v3.13で修正されました。この脆弱性を悪用することで、攻撃者が細工されたSVGファイルをアップロードし、任意のコードを実行することが可能です。

OpenText Verticaのウェブページ生成時における入力の不適切な無害化（クロスサイトスクリプティング）が原因で、リフレクト型XSS脆弱性が存在します。この脆弱性により、Vertica管理コンソールアプリケーションでリフレクト型クロスサイトスクリプティング攻撃が発生する可能性があります。本問題はVerticaのバージョン10.0から10.X、11.0から11.X、12.0から12.X、23.0から23.X、24.0から24.X、25.1.0から25.1.X、25.2.0から25.2.X、25.3.0から25.3.Xに影響します。

OpenText Verticaのウェブページ生成時における入力の不適切な無害化（クロスサイトスクリプティング）脆弱性により、反射型クロスサイトスクリプティング（Reflected XSS）が発生します。この脆弱性は、Vertica管理コンソールアプリケーションで反射型クロスサイトスクリプティング攻撃を引き起こす可能性があります。本問題は、Verticaの以下のバージョンに影響を及ぼします：10.0から10.X、11.0から11.X、12.0から12.X、23.0から23.X、24.0から24.X、25.1.0から25.1.Xまで。

parisneo/lollmsのバージョン2.2.0以前の`AppLollmsMessage`クラスの`from_dict`メソッドにクロスサイトスクリプティング（XSS）の脆弱性が存在します。この脆弱性は、ユーザー提供データの逆シリアル化時に`content`フィールドのサニタイズやHTMLエンコードが行われないことに起因します。そのため、攻撃者は悪意のあるHTMLやJavaScriptペイロードを注入でき、別のユーザーのブラウザコンテキストで実行される可能性があります。この脆弱性を悪用されると、アカウントの乗っ取り、セッションハイジャック、またはワーム型攻撃が引き起こされる可能性があります。

Chamilo LMSは学習管理システムです。バージョン2.0.0-RC.3以前において、演習問題リストの管理パネルにリフレクト型クロスサイトスクリプティング（XSS）の脆弱性が存在し、認証された教師のブラウザで任意のJavaScriptを実行される可能性がありました。ページネーションコードは、すべての$_GETパラメータをarray_merge()で結合し、その結果をhttp_build_query()で処理したものをhtmlspecialchars()でエンコードせずにHTMLのhref属性に直接出力していました。この脆弱性はバージョン2.0.0-RC.3で修正されています。

Vikunjaはオープンソースのセルフホスト型タスク管理プラットフォームです。バージョン2.3.0より前では、期日を過ぎたメール通知において、タスクタイトルがMarkdownリンク構文に直接埋め込まれ、Markdownの特殊文字がエスケープされていませんでした。goldmarkでレンダリングされ、ブルーモンデイ（aタグおよびimgタグを許可する）でサニタイズされる際に、注入されたMarkdownの構造が正当な通知メール内でフィッシングリンクやトラッキングピクセルを生成してしまう問題がありました。この脆弱性はバージョン2.3.0で修正されています。

PraisonAIはマルチエージェントチームシステムです。バージョン4.5.128以前のsrc/praisonai/api.pyのFlask APIエンドポイントでは、エージェントの出力を十分にサニタイズせずにHTMLとしてレンダリングしていました。_sanitize_html関数はnh3ライブラリに依存していますが、これはpyproject.tomlの必須またはオプションの依存関係に記載されていません。nh3が存在しない場合（デフォルトインストールでは）、サニタイザーは何も処理せずにHTMLをそのまま返します。攻撃者がエージェントの入力を操作できる場合（RAGデータポイズニング、ウェブスクレイピングの結果、プロンプトインジェクションを通じて）、APIの出力を閲覧するユーザーのブラウザで任意のJavaScriptを実行させることが可能です。この脆弱性はバージョン4.5.128で修正されました。

immichは高性能なセルフホスト型の写真・動画管理ソリューションです。バージョン2.7.0以前では、360°パノラマビューアに格納型クロスサイトスクリプティング（XSS）の脆弱性が存在し、認証済みの任意のユーザーがOCRオーバーレイが有効な悪意のあるパノラマを閲覧した他のユーザーのブラウザ上で任意のJavaScriptを実行できました。攻撃者は細工されたテキストを含む等角直方投影画像をアップロードし、OCRがそれを抽出し、パノラマビューアがサニタイズなしにinnerHTMLを通じてレンダリングします。これにより、攻撃者はセッションをハイジャックしたり（永続的なAPIキーの作成を通じて）、プライベート写真の流出を引き起こしたり、GPS位置履歴および顔の生体認証データにアクセスしたりできました。この脆弱性はバージョン2.7.0で修正されました。

QuickDropは使いやすいファイル共有アプリケーションです。バージョン1.5.3以前には、ファイルプレビューのエンドポイントに格納型XSS脆弱性が存在していました。アプリケーションは/api/file/upload-chunkエンドポイントを通じてSVGファイルのアップロードを許可しています。攻撃者はJavaScriptペイロードを含む特別に細工されたSVGファイルをアップロードすることが可能です。ユーザーがファイルプレビューを閲覧すると、そのスクリプトがアプリケーションのドメインのコンテキストで実行されます。この脆弱性はバージョン1.5.3で修正されています。

Cronicleは複数のサーバーに対応したタスクスケジューラーおよびランナーであり、ウェブベースのフロントエンドUIを備えています。バージョン0.9.111より前のバージョンでは、create_eventsおよびrun_eventsの権限を持つ非管理者ユーザーが、ジョブの出力フィールド（html.content、html.title、table.header、table.rows、table.caption）を通じて任意のJavaScriptを注入できました。サーバーはこれらのデータをサニタイズせずに保存し、クライアントはジョブ詳細ページでinnerHTMLを介してこれらをレンダリングします。この脆弱性はバージョン0.9.111で修正されています。

CoolerControl/coolercontrol-ui のログビューアー（バージョン4.0.0未満）には格納型XSSの脆弱性があり、認証されていない攻撃者が悪意のあるJavaScriptを仕込んだ改ざんログエントリを介してサービスを乗っ取る可能性があります。

Adobe Experience Managerのバージョン6.5.24、FP11.7およびそれ以前のバージョンには、DOMベースのクロスサイトスクリプティング（XSS）脆弱性があります。攻撃者はこの脆弱性を悪用してDOM環境を操作し、被害者のブラウザのコンテキスト内で悪意のあるJavaScriptを実行する可能性があります。この問題を悪用するにはユーザーの操作が必要であり、被害者は細工されたウェブページを訪問しなければなりません。

Textpattern CMS バージョン 4.9.0 には、セカンドオーダーのクロスサイトスクリプティング脆弱性が含まれており、攻撃者は Atom フィードの XML 要素内でユーザーが提供した入力の不適切なサニタイズを悪用して悪意のあるスクリプトを注入できます。攻撃者は category などのパラメータにエスケープされていないペイロードを埋め込み、これが Atom フィード（例：）に反映されます。これらはフィードリーダーや CMS 集約ツールがフィードを消費し、DOM に安全でない方法でコンテンツを挿入する際に JavaScript として実行されます。

Adobe Experience Manager バージョン 6.5.24、FP11.7 およびそれ以前のバージョンは、DOM ベースのクロスサイトスクリプティング (XSS) 脆弱性の影響を受けます。攻撃者はこの問題を悪用して、DOM 環境を操作し、被害者のブラウザのコンテキスト内で悪意のある JavaScript を実行できます。この問題を悪用するには、被害者が特別に細工されたウェブページを訪問する必要があります。

Adobe Experience Managerのバージョン6.5.24、FP11.7およびそれ以前のバージョンには、DOMベースのクロスサイトスクリプティング（XSS）脆弱性が存在します。攻撃者は被害者のブラウザのコンテキスト内で悪意のあるJavaScriptを実行するためにDOM環境を操作してこの問題を悪用する可能性があります。この問題を悪用するには、被害者が特製のウェブページを訪問する必要があります。