脆弱性情報（JVN）検索・一覧

Adobe Connectのバージョン2025.3、12.10およびそれ以前のバージョンは、反射型クロスサイトスクリプティング（XSS）の脆弱性に影響を受けます。攻撃者が被害者に脆弱なページを参照するURLを訪問させることに成功した場合、悪意のあるJavaScriptコンテンツが被害者のブラウザのコンテキスト内で実行される可能性があります。本脆弱性の範囲が変更されました。

Adobe Connect バージョン 2025.3、12.10 およびそれ以前のバージョンには、DOM ベースのクロスサイトスクリプティング（XSS）脆弱性が存在します。攻撃者はこの問題を悪用して DOM 環境を操作し、被害者のブラウザのコンテキスト内で悪意のある JavaScript を実行できます。この問題を悪用するにはユーザーの操作が必要であり、被害者が細工されたウェブページを訪問する必要があります。影響範囲が変更されました。

Adobe Connectのバージョン2025.3、12.10およびそれ以前のバージョンには、リフレクト型クロスサイトスクリプティング（XSS）の脆弱性があります。攻撃者が被害者に脆弱なページを参照するURLを訪問させることに成功すると、悪意のあるJavaScriptが被害者のブラウザのコンテキスト内で実行される可能性があります。スコープが変更されています。

LibreNMS のバージョン 26.3.0 未満は、showconfig ページにおいて認証済みのクロスサイトスクリプティングの脆弱性の影響を受けます。この攻撃を成功させるには管理者権限が必要です。悪用されると、このページにアクセスする他のユーザーに対して XSS 攻撃を仕掛ける可能性があります。

ウェブページ生成時の入力の適切な中和が不足しているため、イベントコメントを介して格納型クロスサイトスクリプティングの脆弱性が発生します。この問題はPandora FMSのバージョン777から800に影響を及ぼします。

認証エンドポイントは、ユーザーから提供された入力を適切に検証せずにレスポンスに反映します。これにより、攻撃者は入力パラメータに悪意のあるスクリプトペイロードを注入でき、被害者のブラウザでそれが実行されます。悪用に成功すると、攻撃者はユーザーのブラウザを悪意のあるウェブサイトにリダイレクトしたり、ウェブページのUIを変更したり、ブラウザから情報を取得したりすることが可能になります。しかし、httpOnlyフラグによってセッション関連の機密クッキーが保護されているため、セッションハイジャックのリスクは限定的です。

WSO2 API Managerの開発者ポータルは、期待される検証制約や適切な出力エンコーディングを強制せずにユーザー提供の入力を受け入れます。この欠陥により、悪意のある攻撃者がユーザーのブラウザのコンテキスト内でスクリプトコンテンツを実行できるように注入可能になります。このクロスサイトスクリプティング脆弱性を利用すると、悪意のある攻撃者はブラウザを悪意のあるウェブサイトにリダイレクトしたり、ウェブページのUIを変更したり、ブラウザから情報を取得したりできます。ただし、すべてのセッション関連の機密クッキーはhttpOnlyフラグで保護されているため、セッションハイジャックは不可能です。

認証エンドポイントは、ユーザーが提供した入力をウェブページに表示する前にエンコードしないため、スクリプトの注入を許容します。攻撃者はこれを利用して、認証エンドポイントに悪意のあるスクリプトを注入できます。これにより、ユーザーのブラウザが悪意のあるウェブサイトにリダイレクトされたり、ウェブページのユーザーインターフェースが操作されたり、ブラウザから情報が取得されたりする可能性があります。ただし、httpOnlyフラグがセッション関連のクッキーを保護しているため、セッションハイジャックは不可能です。

Fortinet FortiSandbox 5.0.0から5.0.4、およびFortiSandbox PaaS 5.0.0から5.0.4において、Webページ生成時の入力の不適切な無害化（「クロスサイトスクリプティング」）の脆弱性[CWE-79]があります。この脆弱性により、攻撃者は細工されたHTTPリクエストを介してXSS攻撃を実行できる可能性があります。

DocmostはオープンソースのコラボレーティブWikiおよびドキュメントソフトウェアです。バージョン0.70.0より前のバージョンには、MIMEタイプの偽装の不適切な処理（GHSL-2026-052）に起因するストアドクロスサイトスクリプティング（XSS）攻撃の脆弱性が存在します。攻撃者はこの脆弱性を悪用して悪意のあるスクリプトを注入し、ユーザーやデータのセキュリティを危険にさらす可能性があります。バージョン0.70.0にはこの問題を修正するパッチが含まれています。

Chamilo LMSはオープンソースの学習管理システムです。2.0.0-RC.3より前のバージョンには、ソーシャル投稿の添付ファイルアップロード機能にストアドクロスサイトスクリプティング（XSS）の脆弱性が存在していました。認証されたユーザーが/api/social_post_attachmentsエンドポイントを介してJavaScriptを含む悪意のあるHTMLファイルをアップロードすることが可能でした。アップロードされたファイルは、生成されたcontentUrlからアプリケーションによってサニタイズやコンテンツタイプ制限、Content-Disposition: attachmentヘッダーなしで提供されるため、JavaScriptがアプリケーションのオリジン内のブラウザで実行されてしまいます。このペイロードはサーバー側に保存され、信頼されたオリジンで実行されるため、攻撃者はセッションハイジャック、アカウントの乗っ取り、権限昇格（管理者がリンクを閲覧した場合）、および被害者に代わって任意の操作を実行可能です。この問題はバージョン2.0.0-RC.3で修正されました。

Docmostはオープンソースの共同編集ウィキおよびドキュメンテーションソフトウェアです。バージョン0.71.0以前では、Docmostにおける添付ファイルURLの不適切な無害化により、権限の低い認証ユーザーがページ内容の添付ノード内に悪意のある`javascript:` URLを保存できてしまいます。別のユーザーがそのページを閲覧して添付リンクやアイコンを操作すると、攻撃者が制御するJavaScriptがDocmostのオリジンのコンテキスト内で実行されます。この問題はバージョン0.71.0で修正されています。

Octoberはコンテンツ管理システム（CMS）およびウェブプラットフォームです。バージョン3.7.14および4.1.10より前のバージョンには、バックエンドエディター設定に保存型クロスサイトスクリプティング（XSS）脆弱性が含まれていました。段落スタイル、インラインスタイル、テーブルスタイルなどに使用されるマークアップクラスフィールドは、有効なCSSクラス名文字に入力を正しくサニタイズしていませんでした。悪意のある値がFroalaエディタのドロップダウンメニューに未サニタイズのまま表示され、任意のユーザーがRichEditorを開く際にJavaScriptが実行される可能性がありました。悪用されると、スーパーユーザーが通常のコンテンツ編集（例：ブログ投稿の編集）中にRichEditorを開いた場合に権限昇格が発生する可能性があり、編集者設定の権限を持つ認証済みのバックエンドアクセスが必要です。この問題はバージョン3.7.14および4.1.10で修正されています。回避策として、編集者設定の権限を完全に信頼できる管理者のみに制限してください。

Octoberはコンテンツ管理システム（CMS）およびウェブプラットフォームです。バージョン3.7.14および4.1.10以前には、イベントログのメールプレビュ機能に格納型クロスサイトスクリプティング（XSS）脆弱性が存在していました。ログに記録されたメールメッセージを表示する際に、HTMLコンテンツが適切なサンドボックス処理なしにiframe内でレンダリングされ、閲覧者のブラウザコンテキストでJavaScriptが実行可能となっていました。この問題はバージョン3.7.14および4.1.10で修正されています。すぐにアップデートできないユーザーは、メールテンプレートの編集権限を完全に信頼できる管理者にのみ制限し、イベントログの閲覧権限を制限して露出を最小限に抑えることが回避策として推奨されます。

HTMLのmetaタグのcontent属性にURLを挿入する操作がエスケープされていません。これにより、metaタグが値"refresh"を持つhttp-equiv属性を含む場合にXSSが発生する可能性があります。新しいGODEBUG設定としてhtmlmetacontenturlescapeが追加されており、htmlmetacontenturlescape=0に設定することで、metaのcontent属性内の"url="に続くアクションのURLエスケープを無効にできます。

LORIS（Longitudinal Online Research and Imaging System）は、神経画像研究のためのデータおよびプロジェクト管理を提供するセルフホスト型のウェブアプリケーションです。バージョン27.0.3および28.0.1より前のバージョンでは、LORISのhelp_editorモジュールが一部のユーザー提供変数を適切にサニタイズしておらず、不正なリンクをクリックさせられたユーザーに対して反射型クロスサイトスクリプティング攻撃を引き起こす可能性がありました。同じ入力ベクターにより、未修正のサーバー上で攻撃者が任意のMarkdownファイルをダウンロードできる状況も発生していました。この脆弱性はバージョン27.0.3および28.0.1で修正されています。

LORIS（Longitudinal Online Research and Imaging System）は、神経画像研究のデータおよびプロジェクト管理を提供するセルフホスト型のウェブアプリケーションです。バージョン15.10から27.0.3および28.0.1の直前までの間に、survey_accountsモジュールにおいてユーザーが無効な訪問ラベルを提供した場合にクロスサイトスクリプティング攻撃が発生する可能性がありました。データ自体は適切にJSONエンコードされていますが、Content-Typeヘッダーが設定されていないため、ウェブブラウザがペイロードをHTMLとして解釈します。そのため、不正なリンクをユーザーが誤ってクリックするとクロスサイトスクリプティングが発生する恐れがあります。この脆弱性はバージョン27.0.3および28.0.1で修正されました。

CI4MSはCodeIgniter 4ベースのCMSスケルトンであり、RBAC認可とテーマサポートを備え、本番環境に対応したモジュラーアーキテクチャを提供します。0.31.4.0以前のバージョンでは、compInfosPost()内のGoogle Mapsのiframe設定（cMapフィールド）において、iframeの許可リストと正規表現によるon\w+イベントハンドラの除去を用いたstrip_tags()で入力をサニタイズしていました。しかし、srcdoc属性はイベントハンドラではないため、すべてのフィルターを通過してしまいます。管理者設定へのアクセス権を持つ攻撃者は、HTMLエンティティエンコードされたJavaScriptを含む<iframe srcdoc="...">のペイロードを注入でき、これが認証されていないフロントエンド訪問者にレンダリングされる際に親ページのコンテキストで実行されます。この脆弱性は0.31.4.0で修正されました。

Fortinet FortiSandbox 5.0.0から5.0.5、FortiSandbox 4.4.0から4.4.8、FortiSandbox 4.2の全バージョン、FortiSandbox PaaS 5.0.0から5.0.5、FortiSandbox PaaS 4.4.0から4.4.8、FortiSandbox PaaS 4.2の全バージョンには、ウェブページ生成時の入力を適切に無害化できないクロスサイトスクリプティングの脆弱性があります。この脆弱性により、攻撃者はinsert attack vector hereを介して不正なコードやコマンドを実行する可能性があります。

DeepL Chrome拡張機能には次の脆弱性が存在します。 ・クロスサイトスクリプティング（CWE-79）- CVE-2026-40451 この脆弱性情報は、下記の方からの報告により、JPCERT/CCが開発者との調整を行いました。 報告者：サイボウズ株式会社 湯浅 潤樹 氏（JPCERT/CCに報告） 報告者：GMOサイバーセキュリティ ｂｙイエラエ株式会社 山崎 啓太郎 氏（情報セキュリティ早期警戒パートナーシップに基づきIPAに報告）

Progress Flowmonのバージョン12.5.8および13.0.6より前のバージョンには脆弱性が存在します。攻撃者から提供された悪意のあるリンクを管理者がクリックすると、認証済みのウェブセッション内で意図しない操作が誤って実行される可能性があります。

Notesnookは、ユーザーのプライバシーと使いやすさに重点を置いたノート作成アプリです。バージョン3.3.17より前のバージョンには、モバイル共有およびウェブクリップのフローに格納型クロスサイトスクリプティング（XSS）脆弱性が存在していました。この脆弱性は、攻撃者が操作するクリップのメタデータが適切にエスケープ処理されずにHTMLに連結され、モバイル共有エディターのWebView内でinnerHTMLを使ってレンダリングされることが原因です。攻撃者は共有タイトルのメタデータ（例えば、AndroidやiOSの共有メタデータのTITLEやSUBJECT、またはリンクプレビューのタイトルデータなど）を操作し、/aimg src=x onerror=...のようなHTMLを注入することができます。被害者がNotesnookの共有フローを開いてウェブクリップを選択すると、ペイロードが生成されたHTMLに挿入され、モバイルエディターのWebView内で実行されます。この問題はバージョン3.3.17で修正されています。

ApostropheCMSはオープンソースのNode.jsコンテンツ管理システムです。バージョン4.28.0以前には@apostrophecms/color-fieldモジュールに保存型クロスサイトスクリプティングの脆弱性が存在していました。これは、--で始まるカラー値がCSSカスタムプロパティ用に意図されたTinyColorの検証を回避し、launder.string()呼び出しがHTMLのメタ文字を除去せず型の強制変換のみを行うためです。これらの未検証の値は、すべての訪問者にレンダリングされるウィジェット単位のスタイル要素および編集者にレンダリングされるグローバルスタイルシートのstyleタグに直接連結され、出力は安全なHTMLとしてマークされます。編集者は値を注入してstyleタグを閉じ、影響を受けるウィジェットを含む任意のページのすべての訪問者のブラウザで任意のJavaScriptを実行できます。これにより、大量のセッションハイジャックやクッキーの窃取、管理者がドラフトコンテンツを閲覧した場合の管理権限の権限昇格が可能となります。この問題はバージョン4.29.0で修正されました。

Hugoは静的サイトジェネレーターです。バージョン0.60.0から0.159.2未満の間、デフォルトのMarkdownからHTMLへのレンダラーにおいて、リンクと画像リンクが適切にエスケープされていませんでした。Markdownの内容を信頼しているHugoユーザーや、リンクおよび画像に対してカスタムレンダーフックを持つユーザーは影響を受けません。この脆弱性はバージョン0.159.2で修正されました。

MaxKBは企業向けのオープンソースAIアシスタントです。バージョン2.7.1以下には、アプリケーション作成時のアプリケーション名またはアイコンフィールドを通じたストアドクロスサイトスクリプティング（XSS）脆弱性が含まれています。被害者が公開チャットインターフェース（/ui/chat/{access_token}）を訪れると、ChatHeadersMiddlewareはアプリケーションデータを取得し、エスケープされていないアプリケーション名およびアイコンを文字列置換によって直接HTMLレスポンスに挿入します。これにより、攻撃者は被害者のブラウザコンテキストで任意のJavaScriptを実行できます。この問題はバージョン2.8.0で修正されました。

MaxKBは企業向けのオープンソースAIアシスタントです。バージョン2.7.1以下には、フロントエンドのMdRenderer.vueコンポーネントがLLMの応答やアプリケーションプロローグ設定からカスタムのiframe_renderタグを解析し、標準のMarkdownサニタイズおよびXSSフィルタリングを回避するストアドクロスサイトスクリプティング（XSS）の脆弱性が含まれていました。未サニタイズのHTMLコンテンツがIframeRender.vueコンポーネントに渡され、sandbox="allow-scripts allow-same-origin"の設定がされたsrcdoc属性を使って直接iframe内にレンダリングされます。これは危険な組み合わせであり、注入されたスクリプトがiframeを脱出してwindow.parentを使い、親ウィンドウでJavaScriptを実行できる可能性があります。プロローグはアプリケーションのチャットインターフェースを訪れるすべてのユーザーに対してレンダリングされるため、これによりセッションハイジャック、不正な操作、機密データの漏洩が引き起こされる高インパクトなストアドXSSが発生しました。この問題はバージョン2.8.0で修正されました。

SiYuanはオープンソースの個人知識管理システムです。バージョン3.6.1から3.6.3にかけて、bazaarのREADMEレンダリングに関するXSSの以前の修正でLute HTMLサニタイザーが有効になりましたが、このサニタイザーはiframeタグをブロックせず、URLプレフィックスのブロックリストはsrcdoc属性を効果的にフィルタリングできませんでした。悪意のあるbazaarパッケージの作成者は、READMEに埋め込みスクリプトを含むsrcdoc属性付きiframeを挿入できます。これにより、他のユーザーがSiYuanのマーケットプレイスUIでそのパッケージを閲覧すると、ペイロードがElectronコンテキスト内でフルアプリケーション権限を持って実行され、ユーザーのマシン上で任意のコードが実行される可能性がありました。この問題はバージョン3.6.4で修正されました。

Bluditはページ作成機能においてストアドクロスサイトスクリプティング（XSS）の脆弱性があります。認証済みでページ作成権限（著者、編集者、管理者など）を持つ攻撃者は、新規作成された記事のtagsフィールドに悪意のあるJavaScriptペイロードを埋め込むことができます。このペイロードは、被害者がアップロードされたリソースのURLにアクセスした際に実行されます。アップロードされたリソース自体は認証なしでアクセス可能です。特に、この脆弱性は被害者が十分な権限を持つ場合に、新たなサイト管理者を自動的に作成するために利用される可能性があります。ベンダーはこの脆弱性について早期に通知を受けましたが、脆弱性の詳細や影響を受けるバージョン範囲についての回答はありませんでした。バージョン3.17.2及び3.18.0のみがテストされて脆弱であることが確認されており、その他のバージョンは未テストであるため、脆弱である可能性があります。

'/api/v1/files/images/{flow_id}/{file_name}' エンドポイントは、内容をサニタイズせずに 'image/svg+xml' コンテンツタイプでSVGファイルを提供します。SVGファイルには埋め込みJavaScriptが含まれる可能性があり、攻撃者は悪意のあるSVGをアップロードして他のユーザーが閲覧した際に任意のJavaScriptを実行させ、保存型クロスサイトスクリプティング（XSS）を引き起こすことができます。これにより、JWTのアクセスおよびリフレッシュトークンを含む、クッキーに保存された認証トークンを盗むことが可能になります。

MLflowは、YAMLベースのMLmodelアーティファクトの解析に不安全な処理があるため、格納型クロスサイトスクリプティング（XSS）の脆弱性を含んでいます。認証された攻撃者は、悪意のあるMLmodelファイルをアップロードでき、別のユーザーがUIでそのアーティファクトを閲覧した際にペイロードが実行されます。これにより、攻撃者はセッションハイジャックを行ったり、被害者の代わりに操作を行ったりすることが可能となります。この問題はMLflowのバージョン3.10.1までに影響します。

MyBB Like Plugin 3.0.0にはクロスサイトスクリプティングの脆弱性があり、攻撃者は検証されていない件名の内容を使って投稿やスレッドを作成することで悪意のあるスクリプトを注入できます。攻撃者はスクリプトタグを含む投稿の件名を作成でき、他のユーザーが攻撃者のプロフィールを閲覧した際にそのスクリプトが実行されます。プロフィールにはサニタイズされていないいいねされた投稿が表示されるため、脆弱性が悪用される可能性があります。

MyBB Last User's Threads in Profile Plugin 1.2には永続的なクロスサイトスクリプティングの脆弱性が存在し、攻撃者がスレッドの件名にスクリプトタグを巧妙に埋め込むことで悪意のあるスクリプトを注入できます。攻撃者は件名フィールドにスクリプトペイロードを含むスレッドを作成し、ユーザーが攻撃者のプロフィールページを訪問した際にスクリプトが実行されます。

Leafletのバージョン1.9.4まで（含む）には、bindPopup()メソッドを介したクロスサイトスクリプティング（XSS）の脆弱性があります。このメソッドはユーザーから提供された入力をサニタイズせずに生のHTMLとしてレンダリングするため、攻撃者はイベントハンドラー属性（例えば、img src=x onerror="alert('XSS')"）を通じて任意のJavaScriptコードを注入できます。被害者が影響を受けるマップのポップアップを表示すると、悪意のあるスクリプトが被害者のブラウザセッションのコンテキストで実行されます。

MDwikiにはクロスサイトスクリプティングの脆弱性があり、リモートの攻撃者がlocationハッシュパラメータを介して悪意のあるコードを注入し、任意のJavaScriptを実行できます。攻撃者は、ハッシュフラグメント内にJavaScriptペイロードを含むURLを作成でき、そのURLはサニタイズされることなく解析およびレンダリングされるため、注入されたスクリプトが被害者のブラウザコンテキストで実行されます。

Cisco Secure Firewall ASAソフトウェアおよびCisco Secure Firewall Threat Defense（FTD）ソフトウェアのSAML 2.0シングルサインオン（SSO）機能に脆弱性が存在し、認証されていないリモート攻撃者がSAML機能に対してクロスサイトスクリプティング（XSS）攻撃を実行し、ブラウザ上の機密情報にアクセスできる可能性があります。この脆弱性は複数のHTTPパラメータの入力検証が不十分であることに起因します。攻撃者はユーザーに悪意のあるリンクにアクセスさせることで、この脆弱性を悪用できます。成功した攻撃により、影響を受けるデバイスを通じてリフレクトされたXSS攻撃を実行することが可能となります。

SEPPmail Secure Email Gateway バージョン15.0.3以前には、新しいCA証明書に関する通知メールにHTMLが注入される脆弱性があります。

リフレクティッドクロスサイトスクリプティング（XSS）は、LimeSurveyのバージョン6.15.11+250909以前に影響を及ぼします。この脆弱性は、application/models/QuestionCreate.phpのgetInstance()関数内でgidパラメータの検証が不足していることに起因します。この脆弱性により、攻撃者は悪意のあるURLを作成し、ログイン中のユーザーを乗っ取ることが可能になります。