脆弱性情報（JVN）検索・一覧

Checkmk 2.2.0（EOL）、Checkmk 2.3.0の2.3.0p46未満、Checkmk 2.4.0の2.4.0p25未満、およびCheckmk 2.5.0（ベータ版）の2.5.0b3未満において、ダッシュボードのダッシュレットタイトルリンクのサニタイズが不十分であるため、ダッシュボード作成権限を持つ攻撃者が共有ダッシュボード上の細工されたダッシュレットタイトルリンクを被害者にクリックさせることで、永続的なクロスサイトスクリプティング（XSS）攻撃を実行できる可能性があります。

SyncFusion 30.1.37には、ドキュメントエディターのコメント返信欄およびチャットUIのチャットメッセージを介してクロスサイトスクリプティング（XSS）が発生する脆弱性があります。

Jexactylはカスタマイズ可能なゲーム管理パネルおよび請求システムです。コミット025e8dbb0daaa04054276bda814d922cf4af58da以降、e28edb204e80efab628d1241198ea4f079779cfd以前のコミットでは、resources/views/templates/wrapper.blade.phpを通じてサーバーサイドのオブジェクトがクライアントサイドのJavaScriptに注入されていました。安全なエンコードフラグなしで未エスケープの{!! json_encode(...) !!}を使用することで、文字列値がJavaScriptコンテキストから抜け出し、ブラウザによってHTML/JSとして解釈される可能性があります。ユーザー名、表示名、またはサイト設定値など、攻撃者が制御可能な内容を含むシリアライズされたフィールドがある場合、悪意のあるペイロードがページを閲覧する任意のユーザーに対して任意のスクリプトを実行します（格納型DOM XSSの脆弱性が発生します）。この問題はコミットe28edb204e80efab628d1241198ea4f079779cfdによって修正されました。

XinLiangCoder php_api_doc はコミット 1ce5bbf を通じて、list_method.php にリフレクト型クロスサイトスクリプティング（XSS）の脆弱性を含んでいます。この脆弱性により、リモートの攻撃者が f パラメータを介して悪意のあるコードを注入し、被害者のブラウザで任意のJavaScriptを実行することが可能です。攻撃者はGETリクエストパラメータに未検証の入力を含む悪意のあるURLを作成できます。その入力が適切に無害化されずにページに直接出力されるため、セッションハイジャックや資格情報の窃取、またはアプリケーションコンテキスト内でのマルウェア配布を引き起こす恐れがあります。

Pi-hole管理インターフェースは、ネットワークレベルの広告およびインターネットトラッカー防止アプリケーションであるPi-holeを管理するためのウェブインターフェースです。バージョン6.0から6.5未満では、/api/configエンドポイントから取得した設定値がsettings-advanced.js内のHTMLのvalue=""属性にエスケープ処理なしで直接挿入されており、HTML属性インジェクションを可能にしていました。設定値内のダブルクォートは属性のコンテキストを突破します。サーバーのCSP（script-src 'self'）によりJavaScriptの実行は防がれていましたが、挿入された属性はUIリダイレクションのために要素のスタイリングを変更することが可能でした。主な攻撃手法は、各フィールドのサーバー側検証を回避する悪意のあるテレポーターバックアップのインポートによるものでした。この脆弱性はバージョン6.5で修正されました。

Emlogはオープンソースのウェブサイト構築システムです。バージョン2.6.8より前のバージョンには、URIスキーム検証をバイパスすることにより、emlogコメントモジュールに格納型クロスサイトスクリプティング（XSS）の脆弱性が存在しました。この問題はバージョン2.6.8で修正されました。

Nuxt OG Imageは、NuxtでVueテンプレートを使用してOG画像を生成するツールです。バージョン6.2.5より前のバージョンには、URI /_og/d/（および古いバージョンでは/og-image/）を通じた画像生成コンポーネントに、HTMLページのボディに任意の属性を注入できる脆弱性が存在していました。この問題はバージョン6.2.5で修正されました。

SonicWall Email Securityアプライアンスにおいて、ウェブページ生成時にユーザーから提供された入力が適切に無害化されていなかったため、保存型クロスサイトスクリプティング（XSS）脆弱性が確認されました。この脆弱性により、リモートの認証済み管理者ユーザーが任意のJavaScriptコードを実行できる可能性があります。

株式会社GROWIが提供するGROWIには、次の脆弱性が存在します。 ・格納型クロスサイトスクリプティング（CWE-79）- CVE-2026-26291 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。 報告者：齋藤徳秀 氏

ENOVIA Collaborative Industry Innovatorのドキュメント管理に影響を与えるストアドクロスサイトスクリプティング（XSS）脆弱性は、3DEXPERIENCE R2023xリリースから3DEXPERIENCE R2025xリリースまでのバージョンに存在し、攻撃者がユーザーのブラウザセッション内で任意のスクリプトコードを実行できる可能性があります。

MyBB Thread Redirect Plugin 0.2.1には、スレッドリダイレクト用のカスタムテキスト入力フィールドにクロスサイトスクリプティングの脆弱性があります。攻撃者は悪意のあるSVGスクリプトを注入でき、他のユーザーがスレッドを閲覧した際にそのスクリプトが実行されて、任意のスクリプトを実行できるようになります。

MyBB Trending Widget Plugin 1.2にはクロスサイトスクリプティングの脆弱性が存在しており、攻撃者がスレッドタイトルを通じて悪意のあるスクリプトを注入することが可能です。攻撃者は、トレンドウィジェットを他のユーザーが閲覧した際にスクリプトペイロードが実行されるようにスレッドタイトルを変更できます。

MyBB Delete Account Plugin 1.4には、アカウント削除理由入力欄にクロスサイトスクリプティングの脆弱性が存在します。攻撃者は悪意のあるスクリプトを注入することができ、管理者がアカウント削除理由を閲覧する際にそのスクリプトが管理インターフェース内で実行されます。

URLパラメータが適切にエンコードおよびサニタイズされずに直接JavaScriptコードやHTML属性に埋め込まれています。これにより、認証されたユーザーが細工されたリンクを訪れると、攻撃者が任意のスクリプトを注入できる可能性があります。この問題はna1.foxitesign.foxit.comの2026年1月16日以前のバージョンに影響します。

Bulwark WebmailはStalwart Mail Serverのセルフホスト型ウェブメールクライアントです。バージョン1.4.11以前では、リバースプロキシ（proxy.ts）が適用すべきContent-Security-Policyヘッダーの代わりにContent-Security-Policy-Report-Onlyヘッダーを設定していました。これはクロスサイトスクリプティング（XSS）攻撃が記録されるものの、ブロックされないことを意味します。スクリプトコンテンツを注入できるユーザー（例えば細工されたメールのHTMLを通じて）は、アプリケーションのコンテキストで任意のJavaScriptを実行でき、セッショントークンを盗んだりユーザーに成り代わって操作を行ったりする可能性があります。この脆弱性はバージョン1.4.11で修正されました。

Wikimedia FoundationのCheckUserにおいて、Webページ生成中の入力が適切に無害化されていない（XSSまたはクロスサイトスクリプティングの）脆弱性が存在します。この脆弱性は、program filesのmodules/ext.CheckUser.TempAccounts/components/ShowIPButton.Vueおよびmodules/ext.CheckUser.TempAccounts/SpecialBlock.jsに関連しています。この問題は、バージョン1.44.1より前のすべてのCheckUserに影響を与えます。

Wikimedia FoundationのCheckUserにおいて、ウェブページ生成時の入力が不適切に無害化される（XSSまたは「クロスサイトスクリプティング」の）脆弱性があります。この脆弱性はプログラムファイルmodules/ext.CheckUser/checkuser/checkUserHelper/buildUserElement.jsに関連しています。この問題は、CheckUserのバージョン1.44.1未満のすべてのバージョンに影響を及ぼします。

Wikimedia FoundationのVisualEditorにおけるウェブページ生成中の不適切な入力中和（XSSまたはクロスサイトスクリプティング）の脆弱性です。この脆弱性は、プログラムファイル includes/ApiVisualEditorEdit.Php、modules/ve-mw/init/targets/ve.Init.Mw.DesktopArticleTarget.Js、modules/ve-mw/ui/dialogs/ve.Ui.MWSaveDialog.Js に関連しています。本問題はVisualEditorのバージョン1.39.14より前および1.43.4、1.44.1に影響します。

Wikimedia FoundationのVisualEditorにおいて、ウェブページ生成時に入力が適切に無害化されない（XSSまたは「クロスサイトスクリプティング」）脆弱性があります。この脆弱性はプログラムファイルsrc/ce/ve.Ce.ClipboardHandler.Jsに関連しています。この問題はVisualEditorのバージョン1.39.14未満、1.43.4及び1.44.1に影響を与えます。

Wikimedia FoundationのMediaWikiにおけるウェブページ生成時の入力に不適切な無害化が行われる（XSS、クロスサイトスクリプティング）脆弱性です。この脆弱性は、プログラムファイルincludes/CommentFormatter/CommentParser.Phpに関連しています。この問題は、MediaWikiのバージョン1.39.16未満、1.43.6未満、1.44.3未満、1.45.1未満に影響を及ぼします。

Wikimedia FoundationのMediaWikiにおけるWebページ生成時の入力の不適切な無害化による脆弱性（XSSまたは「クロスサイトスクリプティング」）です。この脆弱性は、プログラムファイルresources/src/mediawiki.Special.Apisandbox/ApiSandboxLayout.jsに関連しています。この問題はMediaWikiのバージョン1.44.3以前および1.45.1に影響を与えます。

Wikimedia FoundationのMediaWikiにおいて、ウェブページ生成中の入力が適切に無害化されない（XSSまたは「クロスサイトスクリプティング」と呼ばれる）脆弱性が存在します。この脆弱性は、プログラムファイルresources/src/mediawiki.JqueryMsg/mediawiki.JqueryMsg.Jsに関連しています。この問題は、MediaWikiのバージョン1.39.16未満、1.43.6、1.44.3および1.45.1に影響を及ぼします。

Wikimedia FoundationのMediaWikiにおいて、ウェブページ生成時の入力が適切に無害化されない脆弱性（XSSまたはクロスサイトスクリプティング）が存在します。この脆弱性は、プログラムファイルresources/src/mediawiki.Page.Preview.Jsに関連しています。この問題は、MediaWikiのバージョン1.43.6より前、1.44.3、および1.45.1に影響を与えます。

出力のエスケープが欠如しているため、多言語連携コンポーネントにXSSの脆弱性が発生する。

記事タイトルの出力にエスケープが欠如しているため、さまざまな場所でXSS攻撃が可能になる恐れがあります。

OCS Inventory NG Server バージョン 2.12.3 以前には、認証されていない攻撃者が悪意のある User-Agent HTTP ヘッダーを /ocsinventory エンドポイントに送信することで、任意の JavaScript を実行できる保存型クロスサイトスクリプティング脆弱性が含まれています。攻撃者は不正な User-Agent を登録するか、悪意のある User-Agent 値を持つリクエストを作成します。それらはサニタイズされることなく保存され、ウェブコンソールで不十分なエンコードにより表示されるため、統計ダッシュボードを閲覧する認証済みユーザーのブラウザで任意の JavaScript が実行される可能性があります。

Discourseはオープンソースのディスカッションプラットフォームです。バージョン2026.1.0-latestから2026.1.3未満、2026.2.0-latestから2026.2.2未満、および2026.3.0-latestから2026.3.0未満の間で、共有AI会話を作成する能力を持つ攻撃者が、細工された会話タイトルを介して任意のHTMLおよびJavaScriptを注入できる脆弱性がありました。このペイロードは、ワンボックスプレビューを閲覧する任意のユーザーのブラウザ上で実行され、セッションの乗っ取りや被害者になりすましての不正な操作を許してしまう可能性がありました。この問題はバージョン2026.1.3、2026.2.2、および2026.3.0で修正されています。

Discourseはオープンソースのディスカッションプラットフォームです。バージョン2026.1.0-latestから2026.1.3未満、2026.2.0-latestから2026.2.2未満、および2026.3.0-latestから2026.3.0未満において、APIを介してカテゴリの説明を更新する際に説明文字列のサニタイズが行われないため、XSS攻撃につながる可能性があります。この問題はバージョン2026.1.3、2026.2.2、および2026.3.0で修正されました。

Discourseはオープンソースのディスカッションプラットフォームです。バージョン2026.1.0-latestから2026.1.3未満、2026.2.0-latestから2026.2.2未満、および2026.3.0-latestから2026.3.0未満において、hidden prioritize_full_name_in_uxサイト設定が有効になっている場合（デフォルトはfalseで、変更にはコンソールアクセスが必要）、ユーザーおよびグループの表示名が複数の割り当て関連のUIパスでHTMLエスケープなしにレンダリングされます。これにより、assign権限を持つユーザーは任意のHTMLやJavaScriptを注入でき、影響を受けるトピックを閲覧するすべてのユーザーのブラウザ上でそれらが実行される可能性があります。この問題はバージョン2026.1.3、2026.2.2、および2026.3.0で修正されています。

Pi-hole管理インターフェースは、ネットワークレベルの広告およびインターネットトラッカーをブロックするアプリケーションPi-holeを管理するためのウェブインターフェースです。バージョン6.0から6.5未満において、queries.jsのformatInfo()関数は、クエリログでユーザーがクエリの行を展開した際に、data.upstream、data.client.ip、およびdata.ede.textの内容をHTMLにエスケープせずにレンダリングしており、これにより永続的なHTMLインジェクションを可能にしていました。サーバーのコンテンツセキュリティポリシー（script-src 'self'）によりJavaScriptの実行はブロックされています。同じフィールドはテーブルビュー（rowCallback）では適切にエスケープされているため、この見落としがミスであったことが確認されています。この脆弱性はバージョン6.5で修正されました。

WeGIAは慈善機関向けのウェブ管理ツールです。バージョン3.6.9以前には、バックアップファイル名を通じて攻撃者が悪意のあるスクリプトを注入できるストアドXSSの脆弱性が存在しました。これにより、被害者のブラウザで悪意のあるコードが不正に実行され、セッションデータが漏洩したり、ユーザーに代わって操作が行われたりする可能性があります。この脆弱性はバージョン3.6.9で修正されました。

ChurchCRMはオープンソースの教会管理システムです。バージョン7.1.1より前のバージョンには、グループ削除コントロールおよびファミリーエディタの州／国フィールドにストアドXSSの脆弱性が存在していました。これは主に書き込み可能なエンティティフィールドが悪用された場合に、管理者間でのストアドXSS攻撃経路となる脆弱性です。この脆弱性はバージョン7.1.1で修正されました。