脆弱性情報（JVN）検索・一覧

SonicWall Email Securityアプライアンスにおいて、ウェブページ生成時にユーザーから提供された入力が適切に無害化されていなかったため、保存型クロスサイトスクリプティング（XSS）脆弱性が確認されました。この脆弱性により、リモートの認証済み管理者ユーザーが任意のJavaScriptコードを実行できる可能性があります。

株式会社GROWIが提供するGROWIには、次の脆弱性が存在します。 ・格納型クロスサイトスクリプティング（CWE-79）- CVE-2026-26291 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。 報告者：齋藤徳秀 氏

ENOVIA Collaborative Industry Innovatorのドキュメント管理に影響を与えるストアドクロスサイトスクリプティング（XSS）脆弱性は、3DEXPERIENCE R2023xリリースから3DEXPERIENCE R2025xリリースまでのバージョンに存在し、攻撃者がユーザーのブラウザセッション内で任意のスクリプトコードを実行できる可能性があります。

MyBB Thread Redirect Plugin 0.2.1には、スレッドリダイレクト用のカスタムテキスト入力フィールドにクロスサイトスクリプティングの脆弱性があります。攻撃者は悪意のあるSVGスクリプトを注入でき、他のユーザーがスレッドを閲覧した際にそのスクリプトが実行されて、任意のスクリプトを実行できるようになります。

MyBB Trending Widget Plugin 1.2にはクロスサイトスクリプティングの脆弱性が存在しており、攻撃者がスレッドタイトルを通じて悪意のあるスクリプトを注入することが可能です。攻撃者は、トレンドウィジェットを他のユーザーが閲覧した際にスクリプトペイロードが実行されるようにスレッドタイトルを変更できます。

MyBB Delete Account Plugin 1.4には、アカウント削除理由入力欄にクロスサイトスクリプティングの脆弱性が存在します。攻撃者は悪意のあるスクリプトを注入することができ、管理者がアカウント削除理由を閲覧する際にそのスクリプトが管理インターフェース内で実行されます。

URLパラメータが適切にエンコードおよびサニタイズされずに直接JavaScriptコードやHTML属性に埋め込まれています。これにより、認証されたユーザーが細工されたリンクを訪れると、攻撃者が任意のスクリプトを注入できる可能性があります。この問題はna1.foxitesign.foxit.comの2026年1月16日以前のバージョンに影響します。

Bulwark WebmailはStalwart Mail Serverのセルフホスト型ウェブメールクライアントです。バージョン1.4.11以前では、リバースプロキシ（proxy.ts）が適用すべきContent-Security-Policyヘッダーの代わりにContent-Security-Policy-Report-Onlyヘッダーを設定していました。これはクロスサイトスクリプティング（XSS）攻撃が記録されるものの、ブロックされないことを意味します。スクリプトコンテンツを注入できるユーザー（例えば細工されたメールのHTMLを通じて）は、アプリケーションのコンテキストで任意のJavaScriptを実行でき、セッショントークンを盗んだりユーザーに成り代わって操作を行ったりする可能性があります。この脆弱性はバージョン1.4.11で修正されました。

Wikimedia FoundationのCheckUserにおいて、Webページ生成中の入力が適切に無害化されていない（XSSまたはクロスサイトスクリプティングの）脆弱性が存在します。この脆弱性は、program filesのmodules/ext.CheckUser.TempAccounts/components/ShowIPButton.Vueおよびmodules/ext.CheckUser.TempAccounts/SpecialBlock.jsに関連しています。この問題は、バージョン1.44.1より前のすべてのCheckUserに影響を与えます。

Wikimedia FoundationのCheckUserにおいて、ウェブページ生成時の入力が不適切に無害化される（XSSまたは「クロスサイトスクリプティング」の）脆弱性があります。この脆弱性はプログラムファイルmodules/ext.CheckUser/checkuser/checkUserHelper/buildUserElement.jsに関連しています。この問題は、CheckUserのバージョン1.44.1未満のすべてのバージョンに影響を及ぼします。

Wikimedia FoundationのVisualEditorにおけるウェブページ生成中の不適切な入力中和（XSSまたはクロスサイトスクリプティング）の脆弱性です。この脆弱性は、プログラムファイル includes/ApiVisualEditorEdit.Php、modules/ve-mw/init/targets/ve.Init.Mw.DesktopArticleTarget.Js、modules/ve-mw/ui/dialogs/ve.Ui.MWSaveDialog.Js に関連しています。本問題はVisualEditorのバージョン1.39.14より前および1.43.4、1.44.1に影響します。

Wikimedia FoundationのVisualEditorにおいて、ウェブページ生成時に入力が適切に無害化されない（XSSまたは「クロスサイトスクリプティング」）脆弱性があります。この脆弱性はプログラムファイルsrc/ce/ve.Ce.ClipboardHandler.Jsに関連しています。この問題はVisualEditorのバージョン1.39.14未満、1.43.4及び1.44.1に影響を与えます。

Wikimedia FoundationのMediaWikiにおけるウェブページ生成時の入力に不適切な無害化が行われる（XSS、クロスサイトスクリプティング）脆弱性です。この脆弱性は、プログラムファイルincludes/CommentFormatter/CommentParser.Phpに関連しています。この問題は、MediaWikiのバージョン1.39.16未満、1.43.6未満、1.44.3未満、1.45.1未満に影響を及ぼします。

Wikimedia FoundationのMediaWikiにおけるWebページ生成時の入力の不適切な無害化による脆弱性（XSSまたは「クロスサイトスクリプティング」）です。この脆弱性は、プログラムファイルresources/src/mediawiki.Special.Apisandbox/ApiSandboxLayout.jsに関連しています。この問題はMediaWikiのバージョン1.44.3以前および1.45.1に影響を与えます。

Wikimedia FoundationのMediaWikiにおいて、ウェブページ生成中の入力が適切に無害化されない（XSSまたは「クロスサイトスクリプティング」と呼ばれる）脆弱性が存在します。この脆弱性は、プログラムファイルresources/src/mediawiki.JqueryMsg/mediawiki.JqueryMsg.Jsに関連しています。この問題は、MediaWikiのバージョン1.39.16未満、1.43.6、1.44.3および1.45.1に影響を及ぼします。

Wikimedia FoundationのMediaWikiにおいて、ウェブページ生成時の入力が適切に無害化されない脆弱性（XSSまたはクロスサイトスクリプティング）が存在します。この脆弱性は、プログラムファイルresources/src/mediawiki.Page.Preview.Jsに関連しています。この問題は、MediaWikiのバージョン1.43.6より前、1.44.3、および1.45.1に影響を与えます。

出力のエスケープが欠如しているため、多言語連携コンポーネントにXSSの脆弱性が発生する。

記事タイトルの出力にエスケープが欠如しているため、さまざまな場所でXSS攻撃が可能になる恐れがあります。

OCS Inventory NG Server バージョン 2.12.3 以前には、認証されていない攻撃者が悪意のある User-Agent HTTP ヘッダーを /ocsinventory エンドポイントに送信することで、任意の JavaScript を実行できる保存型クロスサイトスクリプティング脆弱性が含まれています。攻撃者は不正な User-Agent を登録するか、悪意のある User-Agent 値を持つリクエストを作成します。それらはサニタイズされることなく保存され、ウェブコンソールで不十分なエンコードにより表示されるため、統計ダッシュボードを閲覧する認証済みユーザーのブラウザで任意の JavaScript が実行される可能性があります。

Discourseはオープンソースのディスカッションプラットフォームです。バージョン2026.1.0-latestから2026.1.3未満、2026.2.0-latestから2026.2.2未満、および2026.3.0-latestから2026.3.0未満の間で、共有AI会話を作成する能力を持つ攻撃者が、細工された会話タイトルを介して任意のHTMLおよびJavaScriptを注入できる脆弱性がありました。このペイロードは、ワンボックスプレビューを閲覧する任意のユーザーのブラウザ上で実行され、セッションの乗っ取りや被害者になりすましての不正な操作を許してしまう可能性がありました。この問題はバージョン2026.1.3、2026.2.2、および2026.3.0で修正されています。

Discourseはオープンソースのディスカッションプラットフォームです。バージョン2026.1.0-latestから2026.1.3未満、2026.2.0-latestから2026.2.2未満、および2026.3.0-latestから2026.3.0未満において、APIを介してカテゴリの説明を更新する際に説明文字列のサニタイズが行われないため、XSS攻撃につながる可能性があります。この問題はバージョン2026.1.3、2026.2.2、および2026.3.0で修正されました。

Discourseはオープンソースのディスカッションプラットフォームです。バージョン2026.1.0-latestから2026.1.3未満、2026.2.0-latestから2026.2.2未満、および2026.3.0-latestから2026.3.0未満において、hidden prioritize_full_name_in_uxサイト設定が有効になっている場合（デフォルトはfalseで、変更にはコンソールアクセスが必要）、ユーザーおよびグループの表示名が複数の割り当て関連のUIパスでHTMLエスケープなしにレンダリングされます。これにより、assign権限を持つユーザーは任意のHTMLやJavaScriptを注入でき、影響を受けるトピックを閲覧するすべてのユーザーのブラウザ上でそれらが実行される可能性があります。この問題はバージョン2026.1.3、2026.2.2、および2026.3.0で修正されています。

Pi-hole管理インターフェースは、ネットワークレベルの広告およびインターネットトラッカーをブロックするアプリケーションPi-holeを管理するためのウェブインターフェースです。バージョン6.0から6.5未満において、queries.jsのformatInfo()関数は、クエリログでユーザーがクエリの行を展開した際に、data.upstream、data.client.ip、およびdata.ede.textの内容をHTMLにエスケープせずにレンダリングしており、これにより永続的なHTMLインジェクションを可能にしていました。サーバーのコンテンツセキュリティポリシー（script-src 'self'）によりJavaScriptの実行はブロックされています。同じフィールドはテーブルビュー（rowCallback）では適切にエスケープされているため、この見落としがミスであったことが確認されています。この脆弱性はバージョン6.5で修正されました。

WeGIAは慈善機関向けのウェブ管理ツールです。バージョン3.6.9以前には、バックアップファイル名を通じて攻撃者が悪意のあるスクリプトを注入できるストアドXSSの脆弱性が存在しました。これにより、被害者のブラウザで悪意のあるコードが不正に実行され、セッションデータが漏洩したり、ユーザーに代わって操作が行われたりする可能性があります。この脆弱性はバージョン3.6.9で修正されました。

ChurchCRMはオープンソースの教会管理システムです。バージョン7.1.1より前のバージョンには、グループ削除コントロールおよびファミリーエディタの州／国フィールドにストアドXSSの脆弱性が存在していました。これは主に書き込み可能なエンティティフィールドが悪用された場合に、管理者間でのストアドXSS攻撃経路となる脆弱性です。この脆弱性はバージョン7.1.1で修正されました。

MyBB My Arcade Plugin 1.3には、認証済みユーザーがアーケードゲームのスコアコメントを通じて悪意のあるスクリプトを注入できる永続的なクロスサイトスクリプティングの脆弱性があります。攻撃者はコメント欄に細工されたHTMLおよびJavaScriptのペイロードを追加でき、他のユーザーがそのコメントを閲覧または編集するときに実行されます。

QuFTPサービスにクロスサイトスクリプティング（XSS）の脆弱性が報告されています。リモート攻撃者が管理者アカウントを取得すると、本脆弱性を悪用してセキュリティ機構を回避したり、アプリケーションのデータを読み取ったりする可能性があります。この脆弱性は、以下のバージョンで既に修正されています：QuFTP Service 1.4.3以降、QuFTP Service 1.5.2以降、およびQuFTP Service 1.6.2以降。

Hereta ETH-IMC408M のファームウェアバージョン 1.0.15 以前には、認証された攻撃者がデバイス名フィールドを操作することで任意のJavaScriptを注入できる保存型クロスサイトスクリプティングの脆弱性があります。攻撃者はシステムステータスインターフェースを通じて悪意のあるスクリプトを注入でき、入力のサニタイズが行われないため、ステータスページを閲覧するユーザーのブラウザでスクリプトが実行されます。

Hereta ETH-IMC408Mのファームウェアバージョン1.0.15およびそれ以前には、認証済みの攻撃者がDevice Locationフィールドを操作することで任意のJavaScriptを注入できる保存型クロスサイトスクリプティングの脆弱性があります。攻撃者は、入力のサニタイズが行われていないSystem Statusインターフェースを介して悪意のあるスクリプトを注入でき、そのスクリプトはステータスページを閲覧するユーザーのブラウザで実行されます。

Hereta ETH-IMC408M ファームウェアバージョン1.0.15以前には、ネットワーク診断のping機能にリフレクト型クロスサイトスクリプティングの脆弱性が存在し、攻撃者が任意のJavaScriptを実行できる可能性があります。攻撃者はping_ipaddrパラメータにスクリプトのペイロードを注入した悪意のあるリンクを作成でき、そのリンクが訪問されると認証済み管理者のセッションを侵害します。

Interzen Consulting S.r.lのZenShare Suite v17.0のlogin.phpエンドポイントには複数の反射型クロスサイトスクリプティング（XSS）脆弱性が存在します。この脆弱性により、攻撃者は細工されたURLをcodice_aziendaおよびred_urlパラメータに注入し、ユーザーのブラウザのコンテキストで任意のJavaScriptを実行できます。

Ulloadyはマルチファイルアップロードに対応したファイルアップローダースクリプトです。ファイルアップロード処理中のファイル名の不適切なサニタイズにより、バージョン3.1.2未満にストアドクロスサイトスクリプティング（XSS）脆弱性が存在します。攻撃者はJavaScriptコードを含む悪意のあるファイル名でファイルをアップロードでき、そのファイル名が適切にエスケープされずにアプリケーション内に表示されます。ファイル名がファイルリストまたはファイル詳細ページに表示される際に、当該ページを閲覧するユーザーのブラウザ上で悪意のあるスクリプトが実行されます。この問題はバージョン3.1.2で修正されています。

Shynet 0.14.0より前のバージョンには、urldisplayおよびiconifyテンプレートフィルターにXSSの脆弱性が存在します。

QuillのHTMLエクスポート機能におけるデータ検証が欠如しているため、クロスサイトスクリプティング（XSS）が可能になる脆弱性です。この問題はQuillのバージョン2.0.3に影響を与えます。