脆弱性情報（JVN）検索・一覧

Phpgurukul Vehicle Record Management System v1.0 のコンポーネント /admin/profile.php に存在する格納型クロスサイトスクリプティング（XSS）脆弱性により、攻撃者は Name パラメータに細工されたペイロードを注入して任意のウェブスクリプトやHTMLを実行できます。

Phpgurukul Vehicle Record Management System v1.0のコンポーネント/admin/profile.phpに存在する格納型クロスサイトスクリプティング（XSS）脆弱性により、攻撃者はMobile Numberパラメータに細工されたペイロードを注入して任意のウェブスクリプトやHTMLを実行できます。

Phpgurukul Vehicle Record Management System v1.0 のコンポーネント /admin/edit-vehicle.php における複数のクロスサイトスクリプティング（XSS）脆弱性により、攻撃者は作成したペイロードを vehiclename、modelnumber、regnumber、vehiclesubtype、chasisnum、および enginenumber パラメータに注入し、任意のウェブスクリプトやHTMLを実行できます。

Phpgurukul Vehicle Record Management System v1.0 のコンポーネント /admin/add-brand.php に蓄積型クロスサイトスクリプティング（XSS）の脆弱性が存在します。この脆弱性により、攻撃者は細工されたペイロードを brandname パラメータに注入して、任意のウェブスクリプトやHTMLを実行できます。

Phpgurukul Vehicle Record Management System v1.0 のコンポーネント /admin/search-vehicle.php に存在する保存型クロスサイトスクリプティング（XSS）の脆弱性により、攻撃者が Search パラメータに細工されたペイロードを注入し、任意のウェブスクリプトや HTML を実行できる可能性があります。

SuiteCRMはオープンソースのエンタープライズ対応顧客関係管理（CRM）ソフトウェアアプリケーションです。SuiteCRM 7.15.0にはログインページにリフレクト型HTMLインジェクションの脆弱性が存在し、攻撃者は任意のHTMLコンテンツを注入することでフィッシング攻撃やページ改ざんを実行できます。この問題はバージョン7.15.1で修正されました。

Nextcloudのreachable files_pdfviewerのexampleディレクトリにおいて、クロスサイトスクリプティング（XSS）脆弱性が、バージョン22.2.10.33未満、23.0.12.29未満、24.0.12.28未満、25.0.13.23未満、26.0.13.20未満、27.1.11.20未満、28.0.14.11未満、29.0.16.8未満、30.0.17未満、31.0.10未満および32.0.1未満のバージョンに存在します。この脆弱性により、攻撃者は細工されたPDFファイルをviewer.htmlを通じてユーザーのブラウザコンテキストで任意のJavaScriptを実行できます。この問題の根本的な原因は、Nextcloud製品が同一オリジン基準で実行可能なサンプルコードを公開していることにあります。

Census CSWeb 8.0.1 には、ユーザー提供フィールドに格納されるクロスサイトスクリプティングの脆弱性があります。リモートの認証済み攻撃者は、被害者のブラウザで実行される悪意のあるJavaScriptを格納することが可能です。この脆弱性は、8.1.0 アルファ版で修正されました。

Wikimedia FoundationのMediaWikiにおけるウェブページ生成時に、入力の不適切な無害化（XSSまたはクロスサイトスクリプティング）が発生する脆弱性です。この脆弱性は、プログラムファイルresources/src/mediawiki.Language/mediawiki.Language.Jsに関連しています。この問題は、MediaWikiのバージョン1.39.15未満、1.43.5、1.44.2に影響を与えます。

Wikimedia FoundationのMediaWikiにおけるウェブページ生成時の入力の不適切な無害化により、クロスサイトスクリプティング（XSS）の脆弱性が存在します。この脆弱性は、includes/htmlform/CodexHTMLForm.Phpおよびincludes/htmlform/fields/HTMLButtonField.Phpというプログラムファイルに関連しています。この問題は、MediaWikiのバージョン1.39.14未満、1.43.4、および1.44.1に影響を与えます。

Sync-in Server 1.9.3より前のバージョンに存在するストアドクロスサイトスクリプティング（XSS）の脆弱性により、認証済みの攻撃者が被害者のブラウザで任意のJavaScriptを実行できます。悪意のあるペイロードを含む細工されたSVGファイルをアップロードすることで、攻撃者はユーザーのセッションクッキーを含む機密情報にアクセスして盗み出すことが可能です。

MiKaが提供するWordPress用プラグインOpenStreetMapには、次の脆弱性が存在します。 ・クロスサイトスクリプティング（CWE-79）- CVE-2026-33559 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。 報告者：高橋 直也 氏

IBM QRadar SIEM 7.5.0から7.5.0アップデートパッケージ14にかけて、クロスサイトスクリプティングの脆弱性が存在します。この脆弱性により、ユーザーは任意のJavaScriptコードをWeb UIに埋め込み、システムの意図した機能を変更することが可能になります。

SOGoのバージョン5.12.5より前のバージョンには、イベント、タスク、および連絡先のカテゴリにおいてXSS脆弱性が存在します。

Splunk Enterpriseのバージョン10.2.0未満、10.0.3、9.4.9、および9.3.9、並びにSplunk Cloud Platformのバージョン10.2.2510.4未満、10.1.2507.15、10.0.2503.11、および9.3.2411.123において、"admin"または"power"のSplunkロールを持たない低権限ユーザーが、`/manager/launcher/data/ui/views/_new`エンドポイントでビュー（設定 - ユーザーインターフェイス - ビュー）を作成する際に悪意のあるペイロードを生成できる問題があります。これはパストラバーサルの脆弱性を通じた格納型クロスサイトスクリプティング（XSS）を引き起こす可能性があり、ユーザーのブラウザで権限のないJavaScriptコードが実行される恐れがあります。攻撃者は被害者に対してフィッシングを行い、被害者がブラウザ内でリクエストを開始するよう誘導する必要があります。認証されたユーザーは任意にこの脆弱性を悪用することはできません。

OpenClawの2026年2月23日より前のバージョンには、HTMLセッションエクスポーターにHTMLインジェクションの脆弱性があります。攻撃者は、画像コンテンツブロック内に悪意のあるmimeType値を注入することで、任意のJavaScriptを実行できます。攻撃者は特別に細工されたmimeType属性を持つセッションエントリを作成し、img srcのデータURLコンテキストから抜け出して、エクスポートされたHTMLが開かれたときにクロスサイトスクリプティングを引き起こします。

Admidioはオープンソースのユーザー管理ソリューションです。バージョン5.0.6以下では、eCard送信ハンドラーがグリーティングカードのHTMLを構築する際に、HTMLPurifierでサニタイズされた$formValues['ecard_message']の代わりに、生の$_POST['ecard_message']の値を使用していました。これにより、認証された攻撃者が他のメンバーに送信されるグリーティングカードのメールに任意のHTMLおよびJavaScriptを注入可能で、フォーム検証時にecard_messageフィールドに適切に適用されるサーバー側のHTMLPurifierサニタイズを回避できました。この攻撃によって、任意のメンバーまたは役割が正当なものに見えるフィッシングコンテンツを受け取る可能性があり、ウェブアプリケーションから受信者のメールクライアントへの侵害が発生します。この問題はバージョン5.0.7で修正されています。

ChurchCRMはオープンソースの教会管理システムです。バージョン7.0.2より前のバージョンでは、管理者ユーザーがJSONタイプのシステム設定を編集でき、そこにJavaScriptペイロードを格納可能でした。このペイロードは任意の管理者がシステム設定を閲覧した際に実行される可能性があります。SystemSettings.phpにおいてJSON入力がエスケープ・サニタイズされていなかったため、XSSの脆弱性が発生していました。この問題はバージョン7.0.2で修正されています。

SiYuanは個人用知識管理システムです。バージョン3.6.0およびそれ以前では、SanitizeSVGのブロックリストが不完全でした。href属性内のdata:text/htmlおよびdata:image/svg+xmlはブロックしますが、data:text/xmlおよびdata:application/xmlはブロックしていませんでした。これらはJavaScript実行を伴うSVGをレンダリング可能です。認証不要の/api/icon/getDynamicIconエンドポイントは、contentパラメータを介してユーザー制御の入力をfmt.Sprintfを用いてエスケープせずにSVGマークアップに直接埋め込み、Content-Type: image/svg+xmlとして提供します。これによりクリックスルー型XSSが発生します。被害者が細工されたURLにアクセスすると、注入されたリンクを含むSVGが表示され、そのリンクをクリックするとバイパスされたMIMEタイプ経由でJavaScriptがトリガーされます。この攻撃はエンドポイントへの直接のナビゲーションかobjectタグもしくはembedタグによる埋め込みが必要であり、フロントエンドのimgタグレンダリングではインタラクティブなリンクは許されません。この問題はバージョン3.6.1で修正されました。

AvoはRuby on Railsアプリ用の管理パネルを作成するためのフレームワークです。バージョン3.30.3以前のAvoでは、return_toクエリパラメータにリフレクト型クロスサイトスクリプティング（XSS）の脆弱性が存在していました。攻撃者は悪意のあるURLを作成し、それを使って動的に生成されたナビゲーションボタンをクリックさせることで、任意のJavaScriptを実行させることが可能でした。この問題はバージョン3.30.3で修正されました。

NLTK（Natural Language Toolkit）は、自然言語処理の研究開発を支援するオープンソースのPythonモジュール、データセット、およびチュートリアルのスイートです。バージョン3.9.3以前では、`nltk.app.wordnet_app`の`lookup_...`ルートにリフレクト型クロスサイトスクリプティングの問題が存在していました。細工された`lookup_payload`のURLによって、攻撃者が制御する`word`データがHTMLにエスケープされずに反映されるため、任意のHTMLやJavaScriptをレスポンスページに注入できます。この問題はローカルのWordNetブラウザサーバーを実行しているユーザーに影響し、そのアプリケーションのブラウザのオリジンでスクリプトが実行される可能性があります。1c3f799607eeb088cab2491dcf806ae83c29ad8fのコミットでこの問題は修正されました。

Edimax GS-5008PLのファームウェアバージョン1.00.54以前には、system_name_set.cgiスクリプトに格納型クロスサイトスクリプティング（XSS）脆弱性が存在します。この脆弱性により、攻撃者はsysNameパラメータを操作して任意のスクリプトコードを注入できます。攻撃者は悪意のあるスクリプトペイロードを含む細工されたPOSTリクエストを送信でき、管理者がsystem_data.jsを含む管理ページを閲覧した際にそのスクリプトが実行されます。

Next Click Ventures RealtyScript 4.0.2にはクロスサイトスクリプティングの脆弱性が存在し、複数のパラメータで適切にサニタイズされていない悪意のある入力を注入することで、攻撃者が任意のHTMLおよびスクリプトコードを実行できる可能性があります。攻撃者は脆弱なパラメータにスクリプトのペイロードを注入したリクエストを作成し、影響を受けるアプリケーションのコンテキスト内でユーザーのブラウザセッションにおいてコードを実行できます。

Next Click Ventures RealtyScript 4.0.2では、ファイルのアップロードを適切にサニタイズしないため、攻撃者がadmin/tools.phpのfile POSTパラメータを通じて悪意のあるスクリプトを保存できます。攻撃者はJavaScriptコードを含むファイルをアップロードでき、他のユーザーがadmin/tools.phpにアクセスした際にそのコードが実行されます。

Next Click Ventures RealtyScript 4.0.2 は CSV ファイルのアップロードを適切にサニタイズしないため、攻撃者がマルチパートフォームデータのファイル名パラメータを通じて悪意のあるスクリプトを注入可能です。攻撃者はファイル名フィールドに XSS ペイロードを含むファイルをアップロードし、ファイルが処理または表示される際にユーザーのブラウザで任意の JavaScript を実行できます。

Next Click Ventures RealtyScript 4.0.2には、管理者のロケーションインターフェースのlocation_nameパラメータに格納型クロスサイトスクリプティングの脆弱性があります。攻撃者は、locations.phpエンドポイントのlocation_nameフィールドにJavaScriptペイロードを含むPOSTリクエストを送信することで、管理者のブラウザ上で任意のコードを実行できます。

Next Click Ventures RealtyScript 4.0.2には、認証された攻撃者がpages.phpの管理インターフェース内のtextパラメータを介して悪意のあるHTMLやiframe要素を注入できる格納型クロスサイトスクリプティングの脆弱性が含まれています。攻撃者は、textパラメータに細工したiframeペイロードを含むPOSTリクエストをadd pageアクションに送信することで、影響を受けるページを閲覧するユーザーのブラウザで悪意のあるコンテンツが実行されるように保存できます。

Wowza Streaming Engine 4.5.0には、enginemanagerインターフェースに複数の反射型クロスサイトスクリプティングの脆弱性が存在します。これらの脆弱性は、さまざまなパラメータを通じて渡される入力がユーザーに返される前に適切にサニタイズされないことに起因しています。攻撃者は、複数のエンドポイントのappName、vhost、uiAppType、およびwowzaCloudDestinationTypeのようなパラメータを介して悪意のあるスクリプトコードを注入し、ユーザーのブラウザーセッションで任意のHTMLおよびJavaScriptを実行できます。

ストアドクロスサイトスクリプティング（XSS）の脆弱性は、HCL Unica Marketing Operations v12.1.8およびそれ以前のバージョンに影響を与えます。ストアドクロスサイトスクリプティング（別名セカンドオーダーまたは永続的XSS）は、アプリケーションが信頼できないソースからデータを受け取り、そのデータを後のHTTPレスポンス内に安全でない方法で含める場合に発生する脆弱性です。

HCL Connections はクロスサイトスクリプティング攻撃に対して脆弱であり、攻撃者はこの問題を悪用して被害者のブラウザ上で任意のスクリプトコードを実行できます。これにより、悪意のあるスクリプトコードが実行される恐れがあります。この攻撃によって、攻撃者はクッキーを利用した認証情報を盗み出し、ユーザーのアカウントを侵害してから他の攻撃を仕掛けることが可能になります。

StatamicはLaravelとGitを基盤としたコンテンツ管理システム（CMS）です。6.6.2より前のバージョンでは、管理パネルのカラーモード設定に保存されたXSSの脆弱性により、管理パネルアクセス権を持つ認証済みユーザーがより高い権限を持つユーザーのアカウントをなりすまして実行される悪意のあるJavaScriptを注入できる問題がありました。この問題は6.6.2で修正されました。

OpenProjectはオープンソースのウェブベースのプロジェクト管理ソフトウェアです。バージョン16.6.9、17.0.6、17.1.3、および17.2.1より前のバージョンでは、リポジトリモジュールがリポジトリから表示されるファイル名を適切にエスケープしていませんでした。このため、リポジトリへのプッシュ権限を持つ攻撃者がHTMLコードを含むファイル名でコミットを作成すると、そのHTMLコードが適切にサニタイズされることなくページに注入される可能性がありました。これにより、このプロジェクトのリポジトリページにアクセスし、悪意のあるファイルが削除された変更セットを表示した全メンバーに対して持続的なXSS攻撃を行うことが可能となっていました。バージョン16.6.9、17.0.6、17.1.3、および17.2.1でこの問題は修正されています。

Wakymaウェブアプリケーションには、特に「vets.wakyma.com/configuracion/agenda/modelo-formulario-evento」のエンドポイントにストアドクロスサイトスクリプティング（XSS）の脆弱性が存在します。パーソナライズされたアカウントを作成する権限を持つユーザーは、この脆弱性を悪意のあるアンケートを作成することで悪用でき、獣医チーム全体に被害を与える可能性があります。また、低権限のユーザーもこの脆弱性を利用して不正にデータにアクセスし、権限を昇格させて操作を行うことが可能です。

MemrayはPython用のメモリプロファイラです。Memrayのバージョン1.19.2より前では、追跡対象プロセスのコマンドラインをエスケープせずに直接生成されたHTMLレポートにレンダリングしていました。エスケープが行われていなかったため、攻撃者が制御するコマンドライン引数が生成されたレポートに生のHTMLとして挿入されていました。これにより、被害者が生成されたレポートをブラウザで開くとJavaScriptが実行される可能性がありました。この問題はバージョン1.19.2で修正されています。

OpenText ZENworks Service Deskにおけるウェブページ生成時の入力適切無害化処理の不備により、クロスサイトスクリプティング（XSS）が発生します。この脆弱性は、攻撃者が任意のJavaScriptを実行し、ユーザーを代理して不正な操作を行う可能性をもたらします。本問題はZENworks Service Deskのバージョン25.2および25.3に影響を与えます。

Vulnogram 1.0.0にはコメントのハイパーテキスト処理において保存型クロスサイトスクリプティングの脆弱性が含まれており、攻撃者が悪意のあるスクリプトを注入できる可能性があります。リモートの攻撃者はコメントを通じてXSSペイロードを注入し、被害者のブラウザで任意のJavaScriptを実行できます。

IBM Sterling B2B Integrator および IBM Sterling File Gateway のバージョン 6.1.0.0 から 6.1.2.7_2、6.2.0.0 から 6.2.0.5_1、6.2.1.0 から 6.2.1.1_1 にクロスサイトスクリプティングの脆弱性があります。この脆弱性により、ユーザーは Web UI に任意の JavaScript コードを埋め込むことができ、その結果、意図した機能が変更され、信頼されたセッション内で資格情報が漏洩する可能性があります。

IBM Sterling B2B Integrator および IBM Sterling File Gateway のバージョン 6.1.0.0 から 6.1.2.7_2、6.2.0.0 から 6.2.0.5_1、6.2.1.0 から 6.2.1.1_1、および 6.2.2.0 にクロスサイトスクリプティングの脆弱性が存在します。この脆弱性により、認証済みユーザーが任意の JavaScript コードを Web UI に埋め込むことができ、本来の機能が変更され、信頼されたセッション内で認証情報が漏洩する可能性があります。

NetBox 4.3.5 のオブジェクトフォームの「comment」フィールドにクロスサイトスクリプティング（XSS）脆弱性があります。攻撃者は任意のHTMLを注入でき、その注入されたHTMLは他のユーザーが閲覧した際にウェブUI上でレンダリングされます。この脆弱性により、ユーザーインターフェースの改ざん攻撃が引き起こされる可能性があり、特定の状況下ではXSS攻撃にエスカレートする可能性があります。

IBM Sterling B2B IntegratorおよびIBM Sterling File Gatewayのバージョン6.1.0.0から6.1.2.7_2、6.2.0.0から6.2.0.5_1、6.2.1.0から6.2.1.1_1、ならびに6.2.2.0にはクロスサイトスクリプティングの脆弱性があります。この脆弱性により、認証されたユーザーが任意のJavaScriptコードをWeb UIに埋め込むことが可能であり、その結果、本来の機能が変更され、信頼されたセッション内で資格情報が漏洩する恐れがあります。