脆弱性情報（JVN）検索・一覧

Adobe Experience Manager バージョン 6.5.24、FP11.7 およびそれ以前のバージョンには、DOM ベースのクロスサイトスクリプティング（XSS）脆弱性があります。攻撃者はこの問題を悪用して、被害者のブラウザのコンテキスト内で悪意のある JavaScript を実行するために DOM 環境を操作できます。この問題を悪用するためには、被害者が細工されたウェブページを訪問する必要があります。

hoppscotchはオープンソースのAPI開発エコシステムです。バージョン2026.3.0より前のバージョンには、表示名を介したチームメンバーのオーバーフローツールチップに格納型XSS脆弱性が存在していました。この問題はバージョン2026.3.0で修正されています。

lichess.orgは永遠に無料で広告なしのオープンソースチェスサーバーです。承認されたストリーマーは、TwitchやYouTubeのストリームタイトルにマークアップを配置することで、「/streamer」およびホームページの「ライブストリーム」ウィジェットに任意のHTMLを注入できます。CSP（コンテンツセキュリティポリシー）は存在し、インラインスクリプトの実行をブロックしますが、それでもこれはサーバーサイドのHTMLインジェクション脆弱性を引き起こします。この脆弱性を利用するには、Lichessアカウントが通常のストリーマー要件を満たして承認される必要があります。Streamer.canApplyによると、これはアカウントが2日以上経過し、最低15ゲームをプレイしているか、認証済みまたは称号保持者であることを意味します。モデレーターの承認後にストリーマーがライブ配信を開始すると、Lichessはプラットフォームのタイトルを取得してそのままUIに表示します。通常の承認済みストリーマープロフィール以外に特別な権限は必要ありません。この脆弱性は、コミット0d5002696ae705e1888bf77de107c73de57bb1b3で修正されました。

ChurchCRMはオープンソースの教会管理システムです。7.1.0より前のバージョンでは、ChurchCRMダッシュボードが受け入れる検索パラメータにブラインドリフレクテッドクロスサイトスクリプティングの脆弱性が存在していました。アプリケーションは、ブラウザのDOM内でレンダリングする前にユーザーからの入力を適切にサニタイズまたはエンコードしていません。悪意あるペイロードによって引き起こされる不正なAPIリクエストにより、アプリケーションは最終的にHTTP 500エラーを返しますが、エラーレスポンスが返される前に、ブラウザのJavaScriptエンジンが挿入されたscriptタグを解析して実行します。そのため、サーバー側のエラーにもかかわらずコードの実行に成功します。この脆弱性は7.1.0で修正されました。

CI4MSは、RBAC認可とテーマサポートを備えた本番環境対応のモジュラーアーキテクチャを提供するCodeIgniter 4ベースのCMSスケルトンです。0.31.4.0以前のバージョンでは、UserController::ajax_blackList_post()のブラックリスト（禁止）ノートパラメータがサニタイズされずにデータベースに保存され、その後エスケープされることなくHTMLのdata-note属性にレンダリングされていました。ブラックリスト権限を持つ管理者は、ユーザー管理ページを閲覧する他の管理者のブラウザ上で任意のJavaScriptを注入することが可能です。この脆弱性は0.31.4.0で修正されました。

CI4MSは、RBAC認証とテーマサポートを備えた本番環境対応のモジュラーアーキテクチャを提供するCodeIgniter 4ベースのCMSスケルトンです。バージョン0.31.4.0以前では、Pagesモジュールが作成および更新操作時にcontentフィールドにhtml_purify検証ルールを適用していませんが、Blogモジュールは適用しています。そのため、ページ内容はデータベースにサニタイズされずに保存され、echo $pageInfo-contentを通じて公開フロントエンドに生のHTMLとしてレンダリングされます。ページ編集権限を持つ認証済みの管理者は、ページを閲覧するすべての一般訪問者のブラウザで任意のJavaScriptを実行させることが可能です。この脆弱性はバージョン0.31.4.0で修正されました。

Wikimedia FoundationのMediawiki - Cargo Extensionにおいて、ウェブページ生成中の入力に対する不適切な無害化処理により、クロスサイトスクリプティング（XSS）脆弱性が存在します。この脆弱性により、非スクリプト要素を対象としたXSS攻撃が可能となります。この問題は、Mediawiki - Cargo Extensionのバージョン3.8.7より前のバージョンに影響します。

GitLabは、GitLab EEのすべてのバージョン（18.2から18.8.9未満、18.9から18.9.5未満、18.10から18.10.3未満）に影響する問題を修正しました。この問題はカスタマイズ可能な分析ダッシュボードにおいて、不適切な入力サニタイズが原因で、認証されたユーザーが他のユーザーのブラウザのコンテキストで任意のJavaScriptを実行できる可能性がありました。

error_descriptionパラメータにはリフレクテッドXSSの脆弱性があります。攻撃者はSafari固有のonpagerevealペイロードを使用して、ドメインのWAFを回避可能です。

Apache Storm UIにおいて、未サニタイズのトポロジメタデータを介した保存型クロスサイトスクリプティング（XSS）が報告されています。この脆弱性はバージョン2.8.6より前のバージョンに影響を与えます。Storm UIの可視化コンポーネントは、component IDやストリーム名、グルーピング値などのトポロジメタデータをparseNode()およびparseEdge()関数内でinnerHTMLに直接展開しており、これらの値は適切にサニタイズされていません。認証済みユーザーであれば悪意のあるHTMLやJavaScriptコードを含むトポロジを提出することが可能で、これはNimbusを経由しツールチップの描画時に保存型クロスサイトスクリプティングを引き起こす可能性があります。この脆弱性は特に信頼されていないユーザーにトポロジの提出を許可するマルチテナント環境で問題となり、管理者のブラウザセッション内でスクリプトが実行されて権限昇格につながる恐れがあります。対策としては、バージョン2.8.6へアップグレードすることが推奨されます。アップグレードが直ちにできない場合は、parseNode()とparseEdge()関数内で全ての入力値をHTMLエスケープしサニタイズするモンキーパッチを適用し、またNimbusのACL設定を利用してトポロジ提出を信頼できるユーザーのみに制限することが望ましいです。

AILフレームワークは、非構造化データを収集、クロール、処理、分析するためのオープンソースプラットフォームです。バージョン6.8以前では、モーダルアイテムプレビュー機能に保存型クロスサイトスクリプティング（XSS）の脆弱性が特定されました。800文字を超えるアイテムコンテンツが処理される際に、攻撃者が制御するコンテンツが明示的なtext/plainコンテンツタイプなしで返され、ブラウザがレスポンスをアクティブなHTMLとして解釈してしまう可能性がありました。これにより、認証されたユーザーが細工されたアイテムを閲覧すると任意のJavaScriptが実行される可能性があります。この脆弱性はバージョン6.8で修正されました。

Workbenchは、管理者および開発者がForce.com APIを通じてSalesforce.com組織とやり取りするためのツール群です。バージョン65.0.0以前のWorkbenchには、footerScriptsパラメータを介した反射型クロスサイトスクリプティングの脆弱性があり、このパラメータはページレスポンスにレンダリングされる前にユーザー提供の入力を適切にサニタイズしませんでした。Webページ生成時の入力の不適切な無害化（クロスサイトスクリプティング）脆弱性により、Workbenchはエラーページを対象にしたXSS攻撃を許していました。この脆弱性はバージョン65.0.0で修正されています。

Nodcmsにはクロスサイトリクエストフォージェリの脆弱性があり、攻撃者は悪意のあるフォームを作成することで不正な管理者操作を実行できる可能性があります。攻撃者は認証済みの管理者を騙してadmin/user_manipulateおよびadmin/settings/generallエンドポイントにリクエストを送信させ、明示的な同意なしにユーザーを作成したりアプリケーション設定を変更したりすることが可能です。

Smoothwall Express バージョン 3.1 Update 13 より前のバージョンには、VPN_IP パラメータの不適切なサニタイズにより、/cgi-bin/vpnmain.cgi スクリプトに格納型クロスサイトスクリプティングの脆弱性が存在します。認証された攻撃者は VPN 設定を通じて任意の JavaScript を注入でき、そのスクリプトは影響を受けるページが他のユーザーによって閲覧される際に実行されます。

Smoothwall Expressのバージョン3.1 Update 13より前では、/redirect.cgiエンドポイントにおいてurlパラメータの適切なサニタイズが行われていないため、リフレクト型クロスサイトスクリプティングの脆弱性が存在します。攻撃者はjavascript:スキームを使用した悪意のあるURLを作成でき、被害者がその未サニタイズのリンクをクリックすると、任意のJavaScriptが被害者のブラウザ上で実行されます。

Open Source Point of Saleは、CodeIgniterフレームワークを使用してPHPで書かれたウェブベースの販売時点情報管理アプリケーションです。バージョン3.4.3以前には、日次売上管理テーブルにストアドクロスサイトスクリプティング（XSS）の脆弱性が存在していました。customer_name列はbootstrap-tableの列設定でescape: falseに設定されており、顧客名が生のHTMLとしてレンダリングされます。顧客管理権限を持つ攻撃者は、顧客のfirst_nameまたはlast_nameフィールドに任意のJavaScriptを注入でき、これにより日次売上ページを閲覧する任意のユーザーのブラウザ上でスクリプトが実行されます。この脆弱性は3.4.3で修正されています。

LuCIはOpenWrtの設定インターフェースです。24.10.5および25.12.0の両バージョン以前には、ワイヤレススキャンモーダルに保存型のクロスサイトスクリプティング（XSS）脆弱性が存在していました。この脆弱性は、スキャン結果から取得したSSIDの値がサニタイズされずにそのまま生のHTMLとしてレンダリングされることに起因します。luci-mod-networkパッケージのwireless.jsファイルは、SSIDをテンプレートリテラルでdom.append()に渡し、内部でinnerHTMLを介して処理しているため、攻撃者は任意のHTMLやJavaScriptを含む悪意のあるSSIDを作成することが可能です。悪用にはユーザーが積極的にワイヤレススキャンモーダルを開く必要があり（例：Wi-Fiアクセスポイントへの接続や近隣チャネルの調査）、23.05や22.03より新しく、パッチ適用前の24.10.6および25.12.1以前のOpenWrtバージョンに影響します。本問題はLuCI 26.072.65753~068150bにて修正されました。

Pi-hole管理インターフェースは、ネットワークレベルの広告およびインターネットトラッカーをブロックするアプリケーションであるPi-holeを管理するためのウェブインターフェースです。バージョン6.0から6.5未満の間、FTLデータベースから取得したクライアントのホスト名およびIPアドレスがnetwork.js（ネットワークページ）およびcharts.js/index.js（ダッシュボードのチャートツールチップ）内のDOMにエスケープ処理なしでレンダリングされていました。dnsmasqおよびFTLのアップストリーム検証は通常のDHCP/DNS経路でHTML文字をブロックしますが、ウェブUIは出力のエスケープ処理を行わず、同じファイル内の他の適切にエスケープされているフィールドとの一貫性がありませんでした。この脆弱性はバージョン6.5で修正されました。

Checkmk 2.2.0（EOL）、Checkmk 2.3.0の2.3.0p46未満、Checkmk 2.4.0の2.4.0p25未満、およびCheckmk 2.5.0（ベータ版）の2.5.0b3未満において、ダッシュボードのダッシュレットタイトルリンクのサニタイズが不十分であるため、ダッシュボード作成権限を持つ攻撃者が共有ダッシュボード上の細工されたダッシュレットタイトルリンクを被害者にクリックさせることで、永続的なクロスサイトスクリプティング（XSS）攻撃を実行できる可能性があります。

SyncFusion 30.1.37には、ドキュメントエディターのコメント返信欄およびチャットUIのチャットメッセージを介してクロスサイトスクリプティング（XSS）が発生する脆弱性があります。

Jexactylはカスタマイズ可能なゲーム管理パネルおよび請求システムです。コミット025e8dbb0daaa04054276bda814d922cf4af58da以降、e28edb204e80efab628d1241198ea4f079779cfd以前のコミットでは、resources/views/templates/wrapper.blade.phpを通じてサーバーサイドのオブジェクトがクライアントサイドのJavaScriptに注入されていました。安全なエンコードフラグなしで未エスケープの{!! json_encode(...) !!}を使用することで、文字列値がJavaScriptコンテキストから抜け出し、ブラウザによってHTML/JSとして解釈される可能性があります。ユーザー名、表示名、またはサイト設定値など、攻撃者が制御可能な内容を含むシリアライズされたフィールドがある場合、悪意のあるペイロードがページを閲覧する任意のユーザーに対して任意のスクリプトを実行します（格納型DOM XSSの脆弱性が発生します）。この問題はコミットe28edb204e80efab628d1241198ea4f079779cfdによって修正されました。

XinLiangCoder php_api_doc はコミット 1ce5bbf を通じて、list_method.php にリフレクト型クロスサイトスクリプティング（XSS）の脆弱性を含んでいます。この脆弱性により、リモートの攻撃者が f パラメータを介して悪意のあるコードを注入し、被害者のブラウザで任意のJavaScriptを実行することが可能です。攻撃者はGETリクエストパラメータに未検証の入力を含む悪意のあるURLを作成できます。その入力が適切に無害化されずにページに直接出力されるため、セッションハイジャックや資格情報の窃取、またはアプリケーションコンテキスト内でのマルウェア配布を引き起こす恐れがあります。

Pi-hole管理インターフェースは、ネットワークレベルの広告およびインターネットトラッカー防止アプリケーションであるPi-holeを管理するためのウェブインターフェースです。バージョン6.0から6.5未満では、/api/configエンドポイントから取得した設定値がsettings-advanced.js内のHTMLのvalue=""属性にエスケープ処理なしで直接挿入されており、HTML属性インジェクションを可能にしていました。設定値内のダブルクォートは属性のコンテキストを突破します。サーバーのCSP（script-src 'self'）によりJavaScriptの実行は防がれていましたが、挿入された属性はUIリダイレクションのために要素のスタイリングを変更することが可能でした。主な攻撃手法は、各フィールドのサーバー側検証を回避する悪意のあるテレポーターバックアップのインポートによるものでした。この脆弱性はバージョン6.5で修正されました。

Emlogはオープンソースのウェブサイト構築システムです。バージョン2.6.8より前のバージョンには、URIスキーム検証をバイパスすることにより、emlogコメントモジュールに格納型クロスサイトスクリプティング（XSS）の脆弱性が存在しました。この問題はバージョン2.6.8で修正されました。

Nuxt OG Imageは、NuxtでVueテンプレートを使用してOG画像を生成するツールです。バージョン6.2.5より前のバージョンには、URI /_og/d/（および古いバージョンでは/og-image/）を通じた画像生成コンポーネントに、HTMLページのボディに任意の属性を注入できる脆弱性が存在していました。この問題はバージョン6.2.5で修正されました。

SonicWall Email Securityアプライアンスにおいて、ウェブページ生成時にユーザーから提供された入力が適切に無害化されていなかったため、保存型クロスサイトスクリプティング（XSS）脆弱性が確認されました。この脆弱性により、リモートの認証済み管理者ユーザーが任意のJavaScriptコードを実行できる可能性があります。

株式会社GROWIが提供するGROWIには、次の脆弱性が存在します。 ・格納型クロスサイトスクリプティング（CWE-79）- CVE-2026-26291 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。 報告者：齋藤徳秀 氏

ENOVIA Collaborative Industry Innovatorのドキュメント管理に影響を与えるストアドクロスサイトスクリプティング（XSS）脆弱性は、3DEXPERIENCE R2023xリリースから3DEXPERIENCE R2025xリリースまでのバージョンに存在し、攻撃者がユーザーのブラウザセッション内で任意のスクリプトコードを実行できる可能性があります。

MyBB Thread Redirect Plugin 0.2.1には、スレッドリダイレクト用のカスタムテキスト入力フィールドにクロスサイトスクリプティングの脆弱性があります。攻撃者は悪意のあるSVGスクリプトを注入でき、他のユーザーがスレッドを閲覧した際にそのスクリプトが実行されて、任意のスクリプトを実行できるようになります。

MyBB Trending Widget Plugin 1.2にはクロスサイトスクリプティングの脆弱性が存在しており、攻撃者がスレッドタイトルを通じて悪意のあるスクリプトを注入することが可能です。攻撃者は、トレンドウィジェットを他のユーザーが閲覧した際にスクリプトペイロードが実行されるようにスレッドタイトルを変更できます。

MyBB Delete Account Plugin 1.4には、アカウント削除理由入力欄にクロスサイトスクリプティングの脆弱性が存在します。攻撃者は悪意のあるスクリプトを注入することができ、管理者がアカウント削除理由を閲覧する際にそのスクリプトが管理インターフェース内で実行されます。

URLパラメータが適切にエンコードおよびサニタイズされずに直接JavaScriptコードやHTML属性に埋め込まれています。これにより、認証されたユーザーが細工されたリンクを訪れると、攻撃者が任意のスクリプトを注入できる可能性があります。この問題はna1.foxitesign.foxit.comの2026年1月16日以前のバージョンに影響します。

Bulwark WebmailはStalwart Mail Serverのセルフホスト型ウェブメールクライアントです。バージョン1.4.11以前では、リバースプロキシ（proxy.ts）が適用すべきContent-Security-Policyヘッダーの代わりにContent-Security-Policy-Report-Onlyヘッダーを設定していました。これはクロスサイトスクリプティング（XSS）攻撃が記録されるものの、ブロックされないことを意味します。スクリプトコンテンツを注入できるユーザー（例えば細工されたメールのHTMLを通じて）は、アプリケーションのコンテキストで任意のJavaScriptを実行でき、セッショントークンを盗んだりユーザーに成り代わって操作を行ったりする可能性があります。この脆弱性はバージョン1.4.11で修正されました。

Wikimedia FoundationのCheckUserにおいて、Webページ生成中の入力が適切に無害化されていない（XSSまたはクロスサイトスクリプティングの）脆弱性が存在します。この脆弱性は、program filesのmodules/ext.CheckUser.TempAccounts/components/ShowIPButton.Vueおよびmodules/ext.CheckUser.TempAccounts/SpecialBlock.jsに関連しています。この問題は、バージョン1.44.1より前のすべてのCheckUserに影響を与えます。

Wikimedia FoundationのCheckUserにおいて、ウェブページ生成時の入力が不適切に無害化される（XSSまたは「クロスサイトスクリプティング」の）脆弱性があります。この脆弱性はプログラムファイルmodules/ext.CheckUser/checkuser/checkUserHelper/buildUserElement.jsに関連しています。この問題は、CheckUserのバージョン1.44.1未満のすべてのバージョンに影響を及ぼします。

Wikimedia FoundationのVisualEditorにおけるウェブページ生成中の不適切な入力中和（XSSまたはクロスサイトスクリプティング）の脆弱性です。この脆弱性は、プログラムファイル includes/ApiVisualEditorEdit.Php、modules/ve-mw/init/targets/ve.Init.Mw.DesktopArticleTarget.Js、modules/ve-mw/ui/dialogs/ve.Ui.MWSaveDialog.Js に関連しています。本問題はVisualEditorのバージョン1.39.14より前および1.43.4、1.44.1に影響します。

Wikimedia FoundationのVisualEditorにおいて、ウェブページ生成時に入力が適切に無害化されない（XSSまたは「クロスサイトスクリプティング」）脆弱性があります。この脆弱性はプログラムファイルsrc/ce/ve.Ce.ClipboardHandler.Jsに関連しています。この問題はVisualEditorのバージョン1.39.14未満、1.43.4及び1.44.1に影響を与えます。

Wikimedia FoundationのMediaWikiにおけるウェブページ生成時の入力に不適切な無害化が行われる（XSS、クロスサイトスクリプティング）脆弱性です。この脆弱性は、プログラムファイルincludes/CommentFormatter/CommentParser.Phpに関連しています。この問題は、MediaWikiのバージョン1.39.16未満、1.43.6未満、1.44.3未満、1.45.1未満に影響を及ぼします。

Wikimedia FoundationのMediaWikiにおけるWebページ生成時の入力の不適切な無害化による脆弱性（XSSまたは「クロスサイトスクリプティング」）です。この脆弱性は、プログラムファイルresources/src/mediawiki.Special.Apisandbox/ApiSandboxLayout.jsに関連しています。この問題はMediaWikiのバージョン1.44.3以前および1.45.1に影響を与えます。

Wikimedia FoundationのMediaWikiにおいて、ウェブページ生成中の入力が適切に無害化されない（XSSまたは「クロスサイトスクリプティング」と呼ばれる）脆弱性が存在します。この脆弱性は、プログラムファイルresources/src/mediawiki.JqueryMsg/mediawiki.JqueryMsg.Jsに関連しています。この問題は、MediaWikiのバージョン1.39.16未満、1.43.6、1.44.3および1.45.1に影響を及ぼします。