脆弱性情報（JVN）検索・一覧

parisneo/lollmsのバージョン2.2.0以前の`AppLollmsMessage`クラスの`from_dict`メソッドにクロスサイトスクリプティング（XSS）の脆弱性が存在します。この脆弱性は、ユーザー提供データの逆シリアル化時に`content`フィールドのサニタイズやHTMLエンコードが行われないことに起因します。そのため、攻撃者は悪意のあるHTMLやJavaScriptペイロードを注入でき、別のユーザーのブラウザコンテキストで実行される可能性があります。この脆弱性を悪用されると、アカウントの乗っ取り、セッションハイジャック、またはワーム型攻撃が引き起こされる可能性があります。

Chamilo LMSは学習管理システムです。バージョン2.0.0-RC.3以前において、演習問題リストの管理パネルにリフレクト型クロスサイトスクリプティング（XSS）の脆弱性が存在し、認証された教師のブラウザで任意のJavaScriptを実行される可能性がありました。ページネーションコードは、すべての$_GETパラメータをarray_merge()で結合し、その結果をhttp_build_query()で処理したものをhtmlspecialchars()でエンコードせずにHTMLのhref属性に直接出力していました。この脆弱性はバージョン2.0.0-RC.3で修正されています。

Vikunjaはオープンソースのセルフホスト型タスク管理プラットフォームです。バージョン2.3.0より前では、期日を過ぎたメール通知において、タスクタイトルがMarkdownリンク構文に直接埋め込まれ、Markdownの特殊文字がエスケープされていませんでした。goldmarkでレンダリングされ、ブルーモンデイ（aタグおよびimgタグを許可する）でサニタイズされる際に、注入されたMarkdownの構造が正当な通知メール内でフィッシングリンクやトラッキングピクセルを生成してしまう問題がありました。この脆弱性はバージョン2.3.0で修正されています。

PraisonAIはマルチエージェントチームシステムです。バージョン4.5.128以前のsrc/praisonai/api.pyのFlask APIエンドポイントでは、エージェントの出力を十分にサニタイズせずにHTMLとしてレンダリングしていました。_sanitize_html関数はnh3ライブラリに依存していますが、これはpyproject.tomlの必須またはオプションの依存関係に記載されていません。nh3が存在しない場合（デフォルトインストールでは）、サニタイザーは何も処理せずにHTMLをそのまま返します。攻撃者がエージェントの入力を操作できる場合（RAGデータポイズニング、ウェブスクレイピングの結果、プロンプトインジェクションを通じて）、APIの出力を閲覧するユーザーのブラウザで任意のJavaScriptを実行させることが可能です。この脆弱性はバージョン4.5.128で修正されました。

immichは高性能なセルフホスト型の写真・動画管理ソリューションです。バージョン2.7.0以前では、360°パノラマビューアに格納型クロスサイトスクリプティング（XSS）の脆弱性が存在し、認証済みの任意のユーザーがOCRオーバーレイが有効な悪意のあるパノラマを閲覧した他のユーザーのブラウザ上で任意のJavaScriptを実行できました。攻撃者は細工されたテキストを含む等角直方投影画像をアップロードし、OCRがそれを抽出し、パノラマビューアがサニタイズなしにinnerHTMLを通じてレンダリングします。これにより、攻撃者はセッションをハイジャックしたり（永続的なAPIキーの作成を通じて）、プライベート写真の流出を引き起こしたり、GPS位置履歴および顔の生体認証データにアクセスしたりできました。この脆弱性はバージョン2.7.0で修正されました。

QuickDropは使いやすいファイル共有アプリケーションです。バージョン1.5.3以前には、ファイルプレビューのエンドポイントに格納型XSS脆弱性が存在していました。アプリケーションは/api/file/upload-chunkエンドポイントを通じてSVGファイルのアップロードを許可しています。攻撃者はJavaScriptペイロードを含む特別に細工されたSVGファイルをアップロードすることが可能です。ユーザーがファイルプレビューを閲覧すると、そのスクリプトがアプリケーションのドメインのコンテキストで実行されます。この脆弱性はバージョン1.5.3で修正されています。

Cronicleは複数のサーバーに対応したタスクスケジューラーおよびランナーであり、ウェブベースのフロントエンドUIを備えています。バージョン0.9.111より前のバージョンでは、create_eventsおよびrun_eventsの権限を持つ非管理者ユーザーが、ジョブの出力フィールド（html.content、html.title、table.header、table.rows、table.caption）を通じて任意のJavaScriptを注入できました。サーバーはこれらのデータをサニタイズせずに保存し、クライアントはジョブ詳細ページでinnerHTMLを介してこれらをレンダリングします。この脆弱性はバージョン0.9.111で修正されています。

CoolerControl/coolercontrol-ui のログビューアー（バージョン4.0.0未満）には格納型XSSの脆弱性があり、認証されていない攻撃者が悪意のあるJavaScriptを仕込んだ改ざんログエントリを介してサービスを乗っ取る可能性があります。

Adobe Experience Managerのバージョン6.5.24、FP11.7およびそれ以前のバージョンには、DOMベースのクロスサイトスクリプティング（XSS）脆弱性があります。攻撃者はこの脆弱性を悪用してDOM環境を操作し、被害者のブラウザのコンテキスト内で悪意のあるJavaScriptを実行する可能性があります。この問題を悪用するにはユーザーの操作が必要であり、被害者は細工されたウェブページを訪問しなければなりません。

Textpattern CMS バージョン 4.9.0 には、セカンドオーダーのクロスサイトスクリプティング脆弱性が含まれており、攻撃者は Atom フィードの XML 要素内でユーザーが提供した入力の不適切なサニタイズを悪用して悪意のあるスクリプトを注入できます。攻撃者は category などのパラメータにエスケープされていないペイロードを埋め込み、これが Atom フィード（例：）に反映されます。これらはフィードリーダーや CMS 集約ツールがフィードを消費し、DOM に安全でない方法でコンテンツを挿入する際に JavaScript として実行されます。

Adobe Experience Manager バージョン 6.5.24、FP11.7 およびそれ以前のバージョンは、DOM ベースのクロスサイトスクリプティング (XSS) 脆弱性の影響を受けます。攻撃者はこの問題を悪用して、DOM 環境を操作し、被害者のブラウザのコンテキスト内で悪意のある JavaScript を実行できます。この問題を悪用するには、被害者が特別に細工されたウェブページを訪問する必要があります。

Adobe Experience Managerのバージョン6.5.24、FP11.7およびそれ以前のバージョンには、DOMベースのクロスサイトスクリプティング（XSS）脆弱性が存在します。攻撃者は被害者のブラウザのコンテキスト内で悪意のあるJavaScriptを実行するためにDOM環境を操作してこの問題を悪用する可能性があります。この問題を悪用するには、被害者が特製のウェブページを訪問する必要があります。

Adobe Experience Manager バージョン 6.5.24、FP11.7 およびそれ以前のバージョンには、DOM ベースのクロスサイトスクリプティング（XSS）脆弱性があります。攻撃者はこの問題を悪用して、被害者のブラウザのコンテキスト内で悪意のある JavaScript を実行するために DOM 環境を操作できます。この問題を悪用するためには、被害者が細工されたウェブページを訪問する必要があります。

hoppscotchはオープンソースのAPI開発エコシステムです。バージョン2026.3.0より前のバージョンには、表示名を介したチームメンバーのオーバーフローツールチップに格納型XSS脆弱性が存在していました。この問題はバージョン2026.3.0で修正されています。

lichess.orgは永遠に無料で広告なしのオープンソースチェスサーバーです。承認されたストリーマーは、TwitchやYouTubeのストリームタイトルにマークアップを配置することで、「/streamer」およびホームページの「ライブストリーム」ウィジェットに任意のHTMLを注入できます。CSP（コンテンツセキュリティポリシー）は存在し、インラインスクリプトの実行をブロックしますが、それでもこれはサーバーサイドのHTMLインジェクション脆弱性を引き起こします。この脆弱性を利用するには、Lichessアカウントが通常のストリーマー要件を満たして承認される必要があります。Streamer.canApplyによると、これはアカウントが2日以上経過し、最低15ゲームをプレイしているか、認証済みまたは称号保持者であることを意味します。モデレーターの承認後にストリーマーがライブ配信を開始すると、Lichessはプラットフォームのタイトルを取得してそのままUIに表示します。通常の承認済みストリーマープロフィール以外に特別な権限は必要ありません。この脆弱性は、コミット0d5002696ae705e1888bf77de107c73de57bb1b3で修正されました。

ChurchCRMはオープンソースの教会管理システムです。7.1.0より前のバージョンでは、ChurchCRMダッシュボードが受け入れる検索パラメータにブラインドリフレクテッドクロスサイトスクリプティングの脆弱性が存在していました。アプリケーションは、ブラウザのDOM内でレンダリングする前にユーザーからの入力を適切にサニタイズまたはエンコードしていません。悪意あるペイロードによって引き起こされる不正なAPIリクエストにより、アプリケーションは最終的にHTTP 500エラーを返しますが、エラーレスポンスが返される前に、ブラウザのJavaScriptエンジンが挿入されたscriptタグを解析して実行します。そのため、サーバー側のエラーにもかかわらずコードの実行に成功します。この脆弱性は7.1.0で修正されました。

CI4MSは、RBAC認可とテーマサポートを備えた本番環境対応のモジュラーアーキテクチャを提供するCodeIgniter 4ベースのCMSスケルトンです。0.31.4.0以前のバージョンでは、UserController::ajax_blackList_post()のブラックリスト（禁止）ノートパラメータがサニタイズされずにデータベースに保存され、その後エスケープされることなくHTMLのdata-note属性にレンダリングされていました。ブラックリスト権限を持つ管理者は、ユーザー管理ページを閲覧する他の管理者のブラウザ上で任意のJavaScriptを注入することが可能です。この脆弱性は0.31.4.0で修正されました。

CI4MSは、RBAC認証とテーマサポートを備えた本番環境対応のモジュラーアーキテクチャを提供するCodeIgniter 4ベースのCMSスケルトンです。バージョン0.31.4.0以前では、Pagesモジュールが作成および更新操作時にcontentフィールドにhtml_purify検証ルールを適用していませんが、Blogモジュールは適用しています。そのため、ページ内容はデータベースにサニタイズされずに保存され、echo $pageInfo-contentを通じて公開フロントエンドに生のHTMLとしてレンダリングされます。ページ編集権限を持つ認証済みの管理者は、ページを閲覧するすべての一般訪問者のブラウザで任意のJavaScriptを実行させることが可能です。この脆弱性はバージョン0.31.4.0で修正されました。

Wikimedia FoundationのMediawiki - Cargo Extensionにおいて、ウェブページ生成中の入力に対する不適切な無害化処理により、クロスサイトスクリプティング（XSS）脆弱性が存在します。この脆弱性により、非スクリプト要素を対象としたXSS攻撃が可能となります。この問題は、Mediawiki - Cargo Extensionのバージョン3.8.7より前のバージョンに影響します。

GitLabは、GitLab EEのすべてのバージョン（18.2から18.8.9未満、18.9から18.9.5未満、18.10から18.10.3未満）に影響する問題を修正しました。この問題はカスタマイズ可能な分析ダッシュボードにおいて、不適切な入力サニタイズが原因で、認証されたユーザーが他のユーザーのブラウザのコンテキストで任意のJavaScriptを実行できる可能性がありました。

error_descriptionパラメータにはリフレクテッドXSSの脆弱性があります。攻撃者はSafari固有のonpagerevealペイロードを使用して、ドメインのWAFを回避可能です。

Apache Storm UIにおいて、未サニタイズのトポロジメタデータを介した保存型クロスサイトスクリプティング（XSS）が報告されています。この脆弱性はバージョン2.8.6より前のバージョンに影響を与えます。Storm UIの可視化コンポーネントは、component IDやストリーム名、グルーピング値などのトポロジメタデータをparseNode()およびparseEdge()関数内でinnerHTMLに直接展開しており、これらの値は適切にサニタイズされていません。認証済みユーザーであれば悪意のあるHTMLやJavaScriptコードを含むトポロジを提出することが可能で、これはNimbusを経由しツールチップの描画時に保存型クロスサイトスクリプティングを引き起こす可能性があります。この脆弱性は特に信頼されていないユーザーにトポロジの提出を許可するマルチテナント環境で問題となり、管理者のブラウザセッション内でスクリプトが実行されて権限昇格につながる恐れがあります。対策としては、バージョン2.8.6へアップグレードすることが推奨されます。アップグレードが直ちにできない場合は、parseNode()とparseEdge()関数内で全ての入力値をHTMLエスケープしサニタイズするモンキーパッチを適用し、またNimbusのACL設定を利用してトポロジ提出を信頼できるユーザーのみに制限することが望ましいです。

AILフレームワークは、非構造化データを収集、クロール、処理、分析するためのオープンソースプラットフォームです。バージョン6.8以前では、モーダルアイテムプレビュー機能に保存型クロスサイトスクリプティング（XSS）の脆弱性が特定されました。800文字を超えるアイテムコンテンツが処理される際に、攻撃者が制御するコンテンツが明示的なtext/plainコンテンツタイプなしで返され、ブラウザがレスポンスをアクティブなHTMLとして解釈してしまう可能性がありました。これにより、認証されたユーザーが細工されたアイテムを閲覧すると任意のJavaScriptが実行される可能性があります。この脆弱性はバージョン6.8で修正されました。

Workbenchは、管理者および開発者がForce.com APIを通じてSalesforce.com組織とやり取りするためのツール群です。バージョン65.0.0以前のWorkbenchには、footerScriptsパラメータを介した反射型クロスサイトスクリプティングの脆弱性があり、このパラメータはページレスポンスにレンダリングされる前にユーザー提供の入力を適切にサニタイズしませんでした。Webページ生成時の入力の不適切な無害化（クロスサイトスクリプティング）脆弱性により、Workbenchはエラーページを対象にしたXSS攻撃を許していました。この脆弱性はバージョン65.0.0で修正されています。

Nodcmsにはクロスサイトリクエストフォージェリの脆弱性があり、攻撃者は悪意のあるフォームを作成することで不正な管理者操作を実行できる可能性があります。攻撃者は認証済みの管理者を騙してadmin/user_manipulateおよびadmin/settings/generallエンドポイントにリクエストを送信させ、明示的な同意なしにユーザーを作成したりアプリケーション設定を変更したりすることが可能です。

Smoothwall Express バージョン 3.1 Update 13 より前のバージョンには、VPN_IP パラメータの不適切なサニタイズにより、/cgi-bin/vpnmain.cgi スクリプトに格納型クロスサイトスクリプティングの脆弱性が存在します。認証された攻撃者は VPN 設定を通じて任意の JavaScript を注入でき、そのスクリプトは影響を受けるページが他のユーザーによって閲覧される際に実行されます。

Smoothwall Expressのバージョン3.1 Update 13より前では、/redirect.cgiエンドポイントにおいてurlパラメータの適切なサニタイズが行われていないため、リフレクト型クロスサイトスクリプティングの脆弱性が存在します。攻撃者はjavascript:スキームを使用した悪意のあるURLを作成でき、被害者がその未サニタイズのリンクをクリックすると、任意のJavaScriptが被害者のブラウザ上で実行されます。

Open Source Point of Saleは、CodeIgniterフレームワークを使用してPHPで書かれたウェブベースの販売時点情報管理アプリケーションです。バージョン3.4.3以前には、日次売上管理テーブルにストアドクロスサイトスクリプティング（XSS）の脆弱性が存在していました。customer_name列はbootstrap-tableの列設定でescape: falseに設定されており、顧客名が生のHTMLとしてレンダリングされます。顧客管理権限を持つ攻撃者は、顧客のfirst_nameまたはlast_nameフィールドに任意のJavaScriptを注入でき、これにより日次売上ページを閲覧する任意のユーザーのブラウザ上でスクリプトが実行されます。この脆弱性は3.4.3で修正されています。

LuCIはOpenWrtの設定インターフェースです。24.10.5および25.12.0の両バージョン以前には、ワイヤレススキャンモーダルに保存型のクロスサイトスクリプティング（XSS）脆弱性が存在していました。この脆弱性は、スキャン結果から取得したSSIDの値がサニタイズされずにそのまま生のHTMLとしてレンダリングされることに起因します。luci-mod-networkパッケージのwireless.jsファイルは、SSIDをテンプレートリテラルでdom.append()に渡し、内部でinnerHTMLを介して処理しているため、攻撃者は任意のHTMLやJavaScriptを含む悪意のあるSSIDを作成することが可能です。悪用にはユーザーが積極的にワイヤレススキャンモーダルを開く必要があり（例：Wi-Fiアクセスポイントへの接続や近隣チャネルの調査）、23.05や22.03より新しく、パッチ適用前の24.10.6および25.12.1以前のOpenWrtバージョンに影響します。本問題はLuCI 26.072.65753~068150bにて修正されました。

Pi-hole管理インターフェースは、ネットワークレベルの広告およびインターネットトラッカーをブロックするアプリケーションであるPi-holeを管理するためのウェブインターフェースです。バージョン6.0から6.5未満の間、FTLデータベースから取得したクライアントのホスト名およびIPアドレスがnetwork.js（ネットワークページ）およびcharts.js/index.js（ダッシュボードのチャートツールチップ）内のDOMにエスケープ処理なしでレンダリングされていました。dnsmasqおよびFTLのアップストリーム検証は通常のDHCP/DNS経路でHTML文字をブロックしますが、ウェブUIは出力のエスケープ処理を行わず、同じファイル内の他の適切にエスケープされているフィールドとの一貫性がありませんでした。この脆弱性はバージョン6.5で修正されました。

Checkmk 2.2.0（EOL）、Checkmk 2.3.0の2.3.0p46未満、Checkmk 2.4.0の2.4.0p25未満、およびCheckmk 2.5.0（ベータ版）の2.5.0b3未満において、ダッシュボードのダッシュレットタイトルリンクのサニタイズが不十分であるため、ダッシュボード作成権限を持つ攻撃者が共有ダッシュボード上の細工されたダッシュレットタイトルリンクを被害者にクリックさせることで、永続的なクロスサイトスクリプティング（XSS）攻撃を実行できる可能性があります。

SyncFusion 30.1.37には、ドキュメントエディターのコメント返信欄およびチャットUIのチャットメッセージを介してクロスサイトスクリプティング（XSS）が発生する脆弱性があります。

Jexactylはカスタマイズ可能なゲーム管理パネルおよび請求システムです。コミット025e8dbb0daaa04054276bda814d922cf4af58da以降、e28edb204e80efab628d1241198ea4f079779cfd以前のコミットでは、resources/views/templates/wrapper.blade.phpを通じてサーバーサイドのオブジェクトがクライアントサイドのJavaScriptに注入されていました。安全なエンコードフラグなしで未エスケープの{!! json_encode(...) !!}を使用することで、文字列値がJavaScriptコンテキストから抜け出し、ブラウザによってHTML/JSとして解釈される可能性があります。ユーザー名、表示名、またはサイト設定値など、攻撃者が制御可能な内容を含むシリアライズされたフィールドがある場合、悪意のあるペイロードがページを閲覧する任意のユーザーに対して任意のスクリプトを実行します（格納型DOM XSSの脆弱性が発生します）。この問題はコミットe28edb204e80efab628d1241198ea4f079779cfdによって修正されました。

XinLiangCoder php_api_doc はコミット 1ce5bbf を通じて、list_method.php にリフレクト型クロスサイトスクリプティング（XSS）の脆弱性を含んでいます。この脆弱性により、リモートの攻撃者が f パラメータを介して悪意のあるコードを注入し、被害者のブラウザで任意のJavaScriptを実行することが可能です。攻撃者はGETリクエストパラメータに未検証の入力を含む悪意のあるURLを作成できます。その入力が適切に無害化されずにページに直接出力されるため、セッションハイジャックや資格情報の窃取、またはアプリケーションコンテキスト内でのマルウェア配布を引き起こす恐れがあります。

Pi-hole管理インターフェースは、ネットワークレベルの広告およびインターネットトラッカー防止アプリケーションであるPi-holeを管理するためのウェブインターフェースです。バージョン6.0から6.5未満では、/api/configエンドポイントから取得した設定値がsettings-advanced.js内のHTMLのvalue=""属性にエスケープ処理なしで直接挿入されており、HTML属性インジェクションを可能にしていました。設定値内のダブルクォートは属性のコンテキストを突破します。サーバーのCSP（script-src 'self'）によりJavaScriptの実行は防がれていましたが、挿入された属性はUIリダイレクションのために要素のスタイリングを変更することが可能でした。主な攻撃手法は、各フィールドのサーバー側検証を回避する悪意のあるテレポーターバックアップのインポートによるものでした。この脆弱性はバージョン6.5で修正されました。

Emlogはオープンソースのウェブサイト構築システムです。バージョン2.6.8より前のバージョンには、URIスキーム検証をバイパスすることにより、emlogコメントモジュールに格納型クロスサイトスクリプティング（XSS）の脆弱性が存在しました。この問題はバージョン2.6.8で修正されました。

Nuxt OG Imageは、NuxtでVueテンプレートを使用してOG画像を生成するツールです。バージョン6.2.5より前のバージョンには、URI /_og/d/（および古いバージョンでは/og-image/）を通じた画像生成コンポーネントに、HTMLページのボディに任意の属性を注入できる脆弱性が存在していました。この問題はバージョン6.2.5で修正されました。