脆弱性情報（JVN）検索・一覧

IBM Guardium Data Protection 12.1には、保存型クロスサイトスクリプティングの脆弱性があります。この脆弱性により、管理ユーザーがWeb UIに任意のJavaScriptコードを埋め込むことが可能であり、本来の機能を変更し、信頼されたセッション内で認証情報が漏洩する可能性があります。

IBM Guardium Data Protection 12.1 はクロスサイトスクリプティングの脆弱性があります。この脆弱性により、管理者ユーザーが任意のJavaScriptコードをWeb UIに埋め込むことができ、意図した機能を変更できます。その結果、信頼されたセッション内で認証情報が漏洩する可能性があります。

Cisco Unity ConnectionのWebベース管理インターフェースに存在する脆弱性により、認証されていないリモート攻撃者がインターフェースのユーザーに対してリフレクト型XSS攻撃を実行する可能性があります。この脆弱性は、Webベース管理インターフェースがユーザーからの入力を適切に検証しないことに起因します。攻撃者は巧妙に作成されたリンクをユーザーにクリックさせることで、この脆弱性を悪用できます。攻撃が成功すると、攻撃者は影響を受けたインターフェースのコンテキストで任意のスクリプトコードを実行し、ブラウザベースの機密情報にアクセスできます。

GFI HelpDesk バージョン4.99.9未満には格納型クロスサイトスクリプティングの脆弱性があります。この脆弱性はテンプレートグループの作成および編集機能に存在し、認証された管理者がcompanynameのPOSTパラメータをHTMLサニタイズなしで操作することで任意のJavaScriptを注入できます。攻撃者はcompanynameフィールドを通じて悪意のあるスクリプトを注入し、Templates Groupsページを閲覧する管理者のブラウザ上でそのスクリプトを実行させることが可能です。

GFI HelpDesk 4.99.9以前のバージョンには、言語管理機能に保存型クロスサイトスクリプティングの脆弱性があります。この脆弱性は、charsetのPOSTパラメータがHTMLサニタイズされることなく直接SWIFT_Language::Create()に渡され、その後View_Language.RenderGrid()によってサニタイズされずにレンダリングされるために発生します。認証済みの管理者は、言語の作成または編集時にcharsetフィールドを通じて任意のJavaScriptを挿入でき、そのペイロードはLanguagesページを閲覧するすべての管理者のブラウザ上で実行されます。

GFI HelpDesk バージョン4.99.9より前のバージョンには、Troubleshooterモジュールに保存型クロスサイトスクリプティングの脆弱性があります。この脆弱性は、Controller_Step.InsertSubmit()およびEditSubmit()でsubjectのPOSTパラメータがサニタイズされず、View_Step.RenderViewSteps()でレンダリングされることが原因です。認証されたスタッフが任意のJavaScriptをステップのsubjectフィールドに注入でき、ユーザーがTroubleshooter View Troubleshooterに移動して影響を受けるステップのリンクをクリックすると、注入されたペイロードが実行されます。

GFI HelpDesk 4.99.10以前のバージョンには、レポートモジュールに格納型クロスサイトスクリプティング（XSS）の脆弱性があります。これは、titleパラメータがHTMLサニタイズされることなく直接SWIFT_Report::Create()に渡されるためです。攻撃者は、レポートの作成や編集時にレポートタイトルフィールドに任意のJavaScriptコードを注入できます。スタッフメンバーが管理レポート画面で影響を受けたレポートリンクを表示およびクリックすると、ペイロードが実行されます。

GFI HelpDesk のバージョン 4.99.9 未満には、チケット件名フィールドにストアドクロスサイトスクリプティングの脆弱性が存在します。認証済みのスタッフメンバーが editsubject の POST パラメータを操作することで悪意のある JavaScript を注入可能です。攻撃者は Controller_Ticket.EditSubmit() 内の不十分なサニタイズ処理を通じて XSS ペイロードを注入し、不完全な SanitizeForXSS() メソッドを回避して、他のスタッフメンバーや管理者が影響を受けたチケットを閲覧した際に任意の JavaScript を実行させます。

CyberPanelのバージョン2.4.4以前には、AIスキャナーダッシュボードのPOST /api/ai-scanner/callbackエンドポイントに認証がありませんでした。そのため、ScanHistoryレコードのfindings_jsonフィールドを上書きすることで、認証されていない攻撃者が悪意のあるJavaScriptを注入できる永続的なクロスサイトスクリプティングの脆弱性が存在していました。攻撃者は管理者がAIスキャナーダッシュボードを訪れた際に実行されるJavaScriptを注入でき、その管理者の認証済みセッション内で同一オリジンのリクエストを発行し、cronジョブを設置してサーバー上でリモートコード実行を達成できます。

Windows Admin Centerのウェブページ生成中の入力が不適切に無害化されるクロスサイトスクリプティングの脆弱性により、未承認の攻撃者がネットワーク上でなりすましを行うことが可能になります。

DOMPurifyはHTML、MathML、およびSVG用のDOM専用のクロスサイトスクリプティングサニタイザです。バージョン3.4.0以前では、関数ベースのADD_TAGSを使用する場合にFORBID_TAGSとFORBID_ATTRの処理に不整合がありました。コミットc361baaでは1214行目でFORBID_ATTRのために早期終了が追加されましたが、同じ修正はFORBID_TAGSには適用されませんでした。1118行目から1123行目にかけて、EXTRA_ELEMENT_HANDLING.tagCheckがtrueを返すと短絡評価によりFORBID_TAGSのチェックが完全にスキップされます。このため、禁止された要素が属性を保ったままサニタイズをすり抜けることが可能になっていました。バージョン3.4.0でこの問題は修正されました。

pretalxは会議計画のためのツールです。2026.1.0より前のバージョンでは、pretalxのバックエンドにあるオーガナイザー検索機能が、投稿タイトル、スピーカー表示名、およびユーザー名やメールアドレスをinnerHTML文字列補間を使って結果のドロップダウンに表示していました。これらのフィールドのいずれかを操作できるユーザー（管理者により表示名が参照される登録ユーザーも含まれます）は、オーガナイザーの検索クエリが悪意のあるレコードに一致した場合に、オーガナイザーのブラウザ上で実行されるHTMLまたはJavaScriptを含めることが可能でした。この脆弱性は2026.1.0で修正されました。

pretalxはカンファレンス計画ツールです。2026.1.0より前のバージョンでは、認証されていない攻撃者がアカウント表示名などのユーザー制御テンプレートプレースホルダーに不正なHTMLやマークダウンリンク構文を埋め込むことで、pretalxインスタンスの設定された送信者アドレスから任意のHTMLレンダリングメールを送信できます。最も直接的な攻撃経路はパスワードリセットのフローであり、攻撃者は悪意のある名前でアカウントを登録し、被害者のメールアドレスを入力してパスワードリセットを誘発します。その結果送信されるメールはイベントの正当な送信者アドレスから配信され、SPF/DKIM/DMARC検証に合格するため、即席のフィッシングベクトルとなります。この脆弱性は2026.1.0で修正されました。

Astroはウェブフレームワークです。バージョン6.1.6以前では、Astroのサーバーサイドレンダリングパイプライン内のdefineScriptVars関数が、define:varsディレクティブを介してインラインscriptタグに挿入される値をサニタイズするために大文字小文字を区別する正規表現/\/script/gを使用していました。HTMLパーサはscript要素を大文字小文字を区別せずに閉じ、閉じるの前に空白や/を許容するため、攻撃者は/Script、/script 、または/script/のようなペイロードでサニタイズを回避し、任意のHTMLやJavaScriptを注入できました。この脆弱性はバージョン6.1.6で修正されました。

Dovestones Softwares ADPhonebook 4.0.1.1 には、/ADPhonebook?Department=HR エンドポイントの検索パラメータにリフレクト型クロスサイトスクリプティング（XSS）脆弱性が存在します。ユーザーから提供された入力が適切な入力検証や出力エンコーディングなしにHTTPレスポンスに反映されるため、被害者のブラウザで任意のJavaScriptが実行される可能性があります。

zrokはウェブサービス、ファイル、およびネットワークリソースを共有するためのソフトウェアです。バージョン2.0.1以前では、proxyUiテンプレートエンジンがhtml/templateではなくGoのtext/template（HTMLエスケープを行わない）を使用していました。publicProxyおよびdynamicProxyのGitHub OAuthコールバックハンドラーは、time.ParseDurationが失敗した際に攻撃者が制御するrefreshIntervalクエリパラメータをエラーメッセージにそのまま埋め込み、そのエラーをHTMLにエスケープせずにレンダリングします。攻撃者は巧妙に作成したログインURLを被害者に送信でき、被害者がGitHub OAuthフローを完了すると、コールバックページはOAuthサーバのオリジン上で任意のJavaScriptを実行します。この問題はバージョン2.0.1で修正されました。

バージョン1.7.17より前のパッケージgithub.com/yuin/goldmark/renderer/htmlには、URL検証と正規化の順序が不適切であるため、クロスサイトスクリプティング（XSS）に対する脆弱性があります。レンダラーはリンク先をプレフィックスベースのチェック（IsDangerousURL）で検証した後にHTMLエンティティを解決します。このため、攻撃者は危険なスキームをHTML5の名前付き文字参照でエンコードすることによりプロトコルフィルタリングを回避できます。たとえば、javascript&colonalert(1)のようなペイロードは検証時に危険と認識されず、URLをレンダリングするアプリケーションのコンテキストで任意のスクリプトが実行される可能性があります。

Pega Platform バージョン 8.1.0 から 25.1.1 までのバージョンは、ユーザーインターフェースコンポーネントにおけるストアドクロスサイトスクリプティングの脆弱性の影響を受けます。この脆弱性を悪用するには、開発者ロールを持つ高権限ユーザーが必要です。

Octoberはコンテンツ管理システム（CMS）およびウェブプラットフォームです。バージョン3.7.14および4.1.10以前のバージョンには、SVGサニタイズロジックに格納型クロスサイトスクリプティング（XSS）脆弱性が含まれています。イベントハンドラ属性（onclickやonloadなど）を除去するために使用される正規表現パターンは、属性の境界をマッチさせる方法を悪用した巧妙に作成されたペイロードによって回避される可能性があります。これにより、JavaScriptを埋め込んだ悪意のあるSVGファイルをメディアマネージャー経由でアップロードすることが可能になります。悪用されるとスーパーユーザーが悪意のあるSVGを表示または埋め込むことで権限昇格が発生する可能性があり、認証されたバックエンドアクセスおよびメディアのアップロード権限が必要です。ペイロードを発動させるためには、SVGがページ内で表示または埋め込まれる必要があります。この問題はバージョン3.7.14および4.1.10で修正されています。

Docmostはオープンソースの共同編集型ウィキおよびドキュメンテーションソフトウェアです。バージョン0.80.0より前のバージョンでは、ページにコメントを残す際にリンクとしてJavaScript URIを含めることが可能でした。ユーザーがそのリンクをクリックすると、JavaScriptが実行されました。この脆弱性はバージョン0.80.0で修正されました。

GitLabは、GitLab CE/EEのすべてのバージョン16.1.0から18.9.6未満、18.10の18.10.4未満、および18.11の18.11.1未満に影響する問題を修正しました。この問題では、特定の条件下で認証されていないユーザーが不適切な入力検証のためにStorybook開発環境内のトークンにアクセスできてしまう可能性がありました。

ApostropheCMSはオープンソースのNode.jsコンテンツ管理システムです。コミット49d0bb7で導入されたリグレッションは、ApostropheCMSが維持するsanitize-htmlパッケージのバージョン2.17.1に含まれており、非テキストタグ配列（textareaおよびoption）内のテキストに対するallowedTagsの適用を回避します。ApostropheCMSバージョン4.28.0は脆弱なsanitize-htmlバージョンへの依存を介して影響を受けます。packages/sanitize-html/index.jsの569-573行のコードは、htmlparser2がこれらの要素内のエンティティをデコードしないと誤って想定し、エスケープ処理をスキップしていましたが、htmlparser2の10.xはontextコールバックにテキストを渡す前にエンティティをデコードします。その結果、エンティティエンコードされたHTMLはパーサーによってデコードされ、そのままリテラルHTML文字として出力に書き込まれ、allowedTagsフィルターを完全に回避してしまいます。攻撃者はエンティティエンコードを用いて任意のタグ（XSSペイロードを含む）を許可されたoptionまたはtextarea要素を通じて注入できます。これは、formビルダーやCMSプラットフォームで一般的な、optionまたはtextareaをallowedTagsに含める非デフォルト設定に影響します。この問題はsanitize-htmlのバージョン2.17.2およびApostropheCMSのバージョン4.29.0で修正されました。

Open Source Point of Saleは、CodeIgniterフレームワークを使用してPHPで作成されたウェブベースのPOS（販売時点管理）アプリケーションです。バージョン3.4.3以前には、在庫場所の設定機能に格納型クロスサイトスクリプティング（XSS）脆弱性が存在していました。本アプリケーションはstock_locationパラメータを通じて提供されるユーザー入力を適切にサニタイズせず、攻撃者が悪意のあるJavaScriptコードをデータベースに格納し、従業員インターフェースで表示された際にそのコードが実行されることを可能にしていました。この脆弱性はバージョン3.4.3で修正されました。

wgerは無料のオープンソースのワークアウトおよびフィットネスマネージャーです。バージョン2.5およびそれ以前では、AbstractLicenseModelのattribution_linkプロパティが、ユーザーが制御するライセンスフィールド（例えばlicense_author）をエスケープせずに直接HTMLに埋め込み、そのテンプレートがDjangoの|safeフィルターを使って結果をレンダリングしていました。認証済みユーザーは、JavaScriptを含む悪意のあるlicense_author値を持つ成分（ingredient）を作成でき、そのスクリプトが成分ページを閲覧する訪問者のブラウザで実行され、保存型XSSを引き起こします。この問題はバージョン2.5で修正されました。

WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン29.0以下では、`objects/video.php:918`の`isValidDuration()`関数内の正規表現`/^[0-9]{1,2}:[0-9]{1,2}:[0-9]{1,2}/`に終端の`$`アンカーがなく、有効な期間のプレフィックスの後に任意のHTML/JavaScriptを付加することが可能でした。作成された期間はデータベースに保存され、トレンドページ、プレイリストページ、およびビデオギャラリーのサムネイルで`echo Video::getCleanDuration()`を介してHTMLエスケープなしにレンダリングされるため、保存型クロスサイトスクリプティングが発生しました。修正はコミットbcba324644df8b4ed1f891462455f1cd26822a45に含まれています。

WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン29.0以下において、AVideoの`ParsedownSafeWithLinks`クラスの不完全なXSS修正は、raw HTMLに対して`inlineMarkup`をオーバーライドしますが、`inlineLink()`や`inlineUrlTag()`をオーバーライドしないため、マークダウンリンク構文内の`javascript:` URLがサニタイズを回避してしまいます。この問題はコミットcae8f0dadbdd962c89b91d0095c76edb8aadcacfで修正されています。

WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン26.0およびそれ以前のバージョンでは、AVideoのEPG（電子番組表）機能がユーザー制御のURLからXMLを解析し、番組タイトルをサニタイズやエスケープせずに直接HTMLにレンダリングします。アップロード権限を持つユーザーは、ビデオのepg_linkを悪意のあるXMLファイルに設定でき、そのtitle要素にJavaScriptを含めることが可能です。このペイロードは公開EPGページの未認証訪問者のブラウザで実行され、セッションハイジャックやアカウント乗っ取りを引き起こします。

immichは高性能なセルフホステッドの写真およびビデオ管理ソリューションです。バージョン2.7.3以前には、共有アルバム機能にオープンリダイレクトの脆弱性が存在しており、アルバム名がapi.service.tsのmetaタグに無加工で挿入されていました。登録済みの攻撃者は、「0;url=https://attackersite.com" http-equiv="refresh"」を含む細工された名前の共有アルバムを作成でき、これがmeta property="og:title"タグにレンダリングされると、被害者のブラウザが共有リンクを開いた際に攻撃者が制御するサイトへリダイレクトされます。これにより、攻撃者は共有アルバムを見るために認証が必要だと信じてしまう被害者からログイン資格情報を収集する改変版immichをホストするフィッシング攻撃を行うことが可能になります。この問題はバージョン2.7.3で修正されました。

Prometheusはオープンソースの監視システムおよび時系列データベースです。バージョン3.0から3.5.1および3.6.0から3.11.1には、PrometheusのWeb UIの複数のコンポーネントにクロスサイトスクリプティングの脆弱性が存在し、メトリクス名やラベル値がエスケープされることなくinnerHTMLに挿入されていました。Mantine UIおよび旧React UIの両方において、GraphページのチャートツールチップはHTMLやJavaScriptを含むメトリクス名をサニタイズせずにレンダリングします。旧React UIでは、Metric Explorerのあいまい検索結果がエスケープされずにdangerouslySetInnerHTMLを使用し、ヒートマップのセルツールチップがラベル値をサニタイズせずに補間します。Prometheus v3.xでは、UTF-8のメトリクス名およびラベル名のバリデーションがデフォルトで有効になっており、""や""、"\""などの文字がメトリクス名およびラベルで有効になっています。攻撃者がスクレイプターゲット、リモートライト、OTLPレシーバーエンドポイントのいずれかを不正に操作してメトリクスを注入できる場合、Graph UIでそのメトリクスを確認する任意のPrometheusユーザーのブラウザ上で任意のJavaScriptが実行され、不正な設定の窃取やデータ削除、またはフラグの設定次第でPrometheusの停止が可能になる恐れがあります。この問題はバージョン3.5.2および3.11.2で修正されています。開発者がすぐに更新できない場合は、次の回避策を推奨します。リモートライトレシーバー（--web.enable-remote-write-receiver）およびOTLPレシーバー（--web.enable-otlp-receiver）を信頼されていないソースに対して公開しないこと、すべてのスクレイプターゲットが信頼でき、攻撃者の制御下にないことを確認すること、信頼できないデータが取り込まれる環境で管理者または変更可能なAPIエンドポイント（例：--web.enable-admin-apiや--web.enable-lifecycle）を有効にしないこと、およびlabel_replaceなどの関数を含む不審なリンクをクリックしないこと（これらは汚染されたラベル名や値を生成する可能性があります）です。

FreeScoutは無料のセルフホステッドヘルプデスクおよび共有メールボックスです。バージョン1.8.213以前のFreeScoutのapp/Misc/Helper.php内のlinkify()関数は、メール本文内のプレーンテキストURLをHTMLアンカータグに変換する際にURL内の二重引用符（"）をエスケープしません。HTMLPurifier（getCleanBody()を介して最初に呼び出されます）はテキストノード内のリテラルの"文字を保持します。linkify()はその後、これらの"文字を含むURLをエスケープされていないhref="..."属性内にラップし、href属性を破壊して任意のHTML属性を注入してしまいます。この問題はバージョン1.8.213で修正されました。

JavaScriptエンジンコンポーネントにおけるその他の問題です。この脆弱性はFirefox 150およびThunderbird 150で修正されました。

Adobe Connectのバージョン2025.3、12.10およびそれ以前のバージョンは、反射型クロスサイトスクリプティング（XSS）脆弱性の影響を受けます。この脆弱性により、攻撃者が被害者に脆弱なページを参照するURLへアクセスさせると、悪意のあるJavaScriptコードが被害者のブラウザのコンテキスト内で実行される可能性があります。スコープが変更されました。

Adobe Connect バージョン 2025.3、12.10 およびそれ以前には、リフレクティッド クロスサイトスクリプティング（XSS）の脆弱性があります。攻撃者が被害者に脆弱なページを参照する URL を訪問させると、悪意のある JavaScript コンテンツが被害者のブラウザのコンテキスト内で実行される可能性があります。影響範囲が変更されました。