脆弱性情報（JVN）検索・一覧

SourceCodester Sales and Inventory System 1.0 の view_product.php ファイルには、「limit」パラメータを介したリフレクティッドクロスサイトスクリプティング（XSS）脆弱性が存在します。アプリケーションが入力を適切にサニタイズしないため、リモートの攻撃者が細工されたURLを通じて任意のウェブスクリプトやHTMLを注入できます。

SourceCodester Sales and Inventory System 1.0 の view_purchase.php ファイルにある "limit" パラメータを介して、リフレクト型クロスサイトスクリプティング（XSS）の脆弱性が存在します。アプリケーションは入力値を適切にサニタイズしておらず、リモートの攻撃者が細工されたURLを通じて任意のウェブスクリプトやHTMLを注入できます。

SourceCodester Sales and Inventory System 1.0にはリフレクト型クロスサイトスクリプティング（XSS）の脆弱性があります。この脆弱性はview_stock_availability.phpファイルの「limit」パラメータに存在します。アプリケーションは入力を適切にサニタイズしないため、リモートの攻撃者が細工されたURLを通じて任意のウェブスクリプトやHTMLを注入できます。

SourceCodester Sales and Inventory System 1.0 の view_sales.php ファイルの "limit" パラメータにはリフレクト型クロスサイトスクリプティング（XSS）の脆弱性が存在します。アプリケーションは入力のサニタイズに失敗しているため、リモートの攻撃者が細工されたURLを介して任意のウェブスクリプトやHTMLを注入することが可能です。

SourceCodester Sales and Inventory System 1.0 の view_category.php ファイルには、「limit」パラメータを介してリフレクティッドクロスサイトスクリプティング (XSS) の脆弱性が存在します。アプリケーションは入力を適切にサニタイズしないため、リモートの攻撃者が細工された URL を通じて任意のウェブスクリプトや HTML を注入できます。

MolotovCherry Android-ImageMagick7におけるCWE-79の脆弱性です。この問題はAndroid-ImageMagick7のバージョン7.1.2-11未満に影響を与えます。

WebOfisi E-Ticaret 4.0には、認証されていない攻撃者が'urun' GETパラメータを使ってデータベースクエリを操作できるSQLインジェクションの脆弱性があります。攻撃者はこの'urun'パラメータにSQLペイロードを注入し、ブールベースのブラインド、エラーベース、タイムベースのブラインド、およびスタッククエリアタックをバックエンドデータベースに対して実行できます。

Ericsson Indoor Connect 8855の2025年第3四半期以前のバージョンにはクロスサイトスクリプティング（XSS）の脆弱性が存在しており、これが悪用されると特定の情報が不正に開示されたり改ざんされたりする可能性があります。

Kiteworksはプライベートデータネットワーク（PDN）です。バージョン9.2.1以前のKiteworks Secure Data Formsには、認証された攻撃者がフォームを変更する際に、Stored XSSとしてウェブページ生成中の入力の不適切な無害化を悪用する可能性があります。この問題を修正するために、Kiteworksをバージョン9.2.1以降にアップグレードしてください。

IBM InfoSphere Information Server 11.7.0.0から11.7.1.6までにかけて、クロスサイトスクリプティングの脆弱性があります。この脆弱性により、ユーザーはWeb UIに任意のJavaScriptコードを埋め込むことができ、その結果として意図された機能が変更され、信頼されたセッション内で認証情報が漏洩する可能性があります。

IBM Infosphere Information Server 11.7.0.0から11.7.1.6までに保存型クロスサイトスクリプティングの脆弱性が存在します。この脆弱性により、特権ユーザーがWeb UIに任意のJavaScriptコードを埋め込むことが可能となり、本来の機能が変更されることで信頼されたセッション内で資格情報が漏洩する可能性があります。

論理的な問題が改善されたチェックによって対処されました。この問題はSafari 26.4、iOS 18.7.7およびiPadOS 18.7.7、iOS 26.4およびiPadOS 26.4、macOS Tahoe 26.4で修正されています。悪意のある細工を施したウェブサイトを訪問すると、クロスサイトスクリプティング攻撃が発生する可能性があります。

GitLabは、GitLab CE/EEの全バージョン17.7から18.8.7未満、18.9から18.9.3未満、および18.10から18.10.1未満に影響する問題を修正しました。この問題により、認証されたユーザーがMermaidダイアグラム内のエンティティエンコードされたコンテンツを不適切にサニタイズされているため、ユーザーのブラウザで任意のJavaScriptを実行できる可能性がありました。

Drupal TagifyにおけるWebページ生成時の入力の不適切な無害化により、クロスサイトスクリプティング（XSS）が発生します。この脆弱性はTagifyのバージョン0.0.0から1.2.49未満に影響します。

OPEXUS eComplaintおよびeCASE 10.2.0.0以前のバージョンは、ユーザープロファイルの名前および姓フィールドの内容を正しくサニタイズしていません。認証された攻撃者は、名前および姓のフィールドにXSSペイロードの一部を注入できます。このペイロードはユーザーのフルネームが表示される際に実行されます。これにより、攻撃者は被害者のセッションのコンテキストでスクリプトを実行可能です。

OPEXUS eComplaint および eCASE バージョン10.2.0.0より前のバージョンでは、「マイ情報」画面の名前（First name）および姓（Last name）フィールドの内容を正しくサニタイズしていません。認証された攻撃者は名前および姓フィールドにXSSペイロードの一部を注入できます。このペイロードはフルネームが表示される際に実行されます。攻撃者は被害者のセッションのコンテキストでスクリプトを実行可能です。

OPEXUSのeComplaintおよびeCASEのバージョン10.2.0.0以前には、ケース情報を入力する際の「組織名」フィールドの内容が正しくサニタイズされていません。認証された攻撃者は、被害者がケース情報ページにアクセスした際、そのセッションのコンテキストで実行されるXSSペイロードを注入できます。

OpenEMRは無料かつオープンソースの電子医療記録および医療業務管理アプリケーションです。`Notes - my encounters`ロールを持つユーザーは患者の診察においてEye Examフォームに記入できます。このフォームの回答は、同じロールを持つユーザーの診察ページおよび訪問履歴に表示されます。バージョン8.0.0.3以前には、フォームの回答を表示する機能に格納型クロスサイトスクリプティング（XSS）の脆弱性が存在し、特定のロールを持つ認証済み攻撃者が悪意のあるペイロードをフォーム回答に入力することで任意のJavaScriptコードをシステムに挿入可能でした。このJavaScriptコードは、当該フォームロールを持つユーザーが患者の診察ページや訪問履歴でフォーム回答を閲覧する際に実行されます。バージョン8.0.0.3でこの問題は修正されています。

Wallosはオープンソースでセルフホスト可能な個人用サブスクリプショントラッカーです。バージョン4.7.0以前には、支払い方法の名前変更エンドポイントに格納型クロスサイトスクリプティング（XSS）脆弱性が存在しており、認証済みの任意のユーザーが任意のJavaScriptを注入でき、そのJavaScriptは設定、サブスクリプション、または統計ページを訪問した任意のユーザーで実行されます。さらに、wallos_login認証クッキーにHttpOnlyフラグが設定されていなかったため、この脆弱性と組み合わせることでセッションを完全に乗っ取ることが可能となっていました。この問題はバージョン4.7.0で修正されました。

OpenEMRは無料でオープンソースの電子健康記録および医療業務管理アプリケーションです。バージョン8.0.0.3より前では、POSTパラメータ`title`が`json_encode()`で構築されたJSONレスポンスに反映されます。しかし、レスポンスが`text/html`のContent-Typeで提供されるため、ブラウザは出力をJSONとして扱うのではなく、注入されたHTMLやスクリプトタグを解釈してしまいます。認証済みの攻撃者は、この脆弱性を利用して被害者のセッション内で任意のJavaScriptを実行するリクエストを作成できます。バージョン8.0.0.3ではこの問題が修正されています。

OpenEMRは無料でオープンソースの電子健康記録および医療業務管理アプリケーションです。バージョン8.0.0.3以前では、認証された攻撃者が悪意のあるフォームを作成し、それが被害者によって送信されると、被害者のブラウザセッション内で任意のJavaScriptを実行する可能性がありました。この問題はバージョン8.0.0.3で修正されました。

OpenEMRは無料でオープンソースの電子カルテおよび医療業務管理アプリケーションです。バージョン8.0.0.3以前には、CCDAドキュメントプレビューに格納型クロスサイトスクリプティングの脆弱性が存在し、攻撃者はCCDAドキュメントをアップロードまたは送信することで、ドキュメントがプレビューされる際に臨床医のブラウザセッション内で任意のJavaScriptを実行できます。XSLスタイルシートは他のすべてのナラティブ要素の属性をサニタイズしますが、`linkHtml`についてはサニタイズせず、そのため、`href="javascript:..."`やイベントハンドラ属性がそのまま通過してしまいます。この問題はバージョン8.0.0.3で修正されました。

OpenEMRは無料でオープンソースの電子健康記録および医療業務管理アプリケーションです。バージョン7.0.2.1から8.0.0.3以前のバージョンにおいて、カスタムテンプレートエディタにリフレクト型クロスサイトスクリプティング（XSS）の脆弱性が存在し、認証されたスタッフメンバーのブラウザセッション上で任意のJavaScriptを実行させることができます。攻撃者にOpenEMRのアカウントは必要ありません。この問題はバージョン8.0.0.3で修正されています。

Support Board v3.7.7にリフレクティッドクロスサイトスクリプティング（XSS）の脆弱性が発見されました。この脆弱性により、攻撃者は『/supportboard/include/articles.php』の『search』パラメータを使って悪意のあるURLを被害者に送信し、被害者のブラウザでJavaScriptコードを実行できます。この脆弱性は、セッションクッキーなどの機微なユーザーデータを盗んだり、ユーザーに成りすまして行動したりするために悪用される恐れがあります。

GDTallerにおけるリフレクト型クロスサイトスクリプティング（XSS）の脆弱性です。これらの脆弱性により、攻撃者は'app_login.php'の'site'パラメータに悪意のあるURLを送信し、被害者のブラウザ上でJavaScriptコードを実行できます。

GDTallerにおけるリフレクト型クロスサイトスクリプティング（XSS）の脆弱性です。この脆弱性により、攻撃者は悪意のあるURLを'app_recuperarclave.php'の'site'パラメータに送信し、被害者のブラウザでJavaScriptコードを実行できます。

Connect-CMSはコンテンツ管理システムです。1.xシリーズのバージョン1.41.0までおよび2.xシリーズのバージョン2.41.0までには、フォームプラグインのファイルフィールドに蓄積型クロスサイトスクリプティング（XSS）の脆弱性が存在します。バージョン1.41.1および2.41.1には、この問題を修正するためのパッチが含まれています。

PySpectorは、最新のPython開発ワークフロー向けに設計された静的解析セキュリティテスト（SAST）フレームワークです。PySpectorのバージョン0.1.6およびそれ以前には、HTMLレポート生成器に格納型クロスサイトスクリプティング（XSS）脆弱性が存在していました。PySpectorがJavaScriptペイロード（つまり、eval()に渡された文字列内）を含むPythonファイルをスキャンする際、検出されたコードスニペットがサニタイズされることなくHTMLレポートに挿入されます。生成されたレポートをブラウザで開くと、埋め込まれたJavaScriptがブラウザのローカルファイルコンテキストで実行されます。この問題はバージョン0.1.7で修正されました。

Active SupportはRailsフレームワークから抽出されたサポートライブラリおよびRubyコア拡張のツールキットです。バージョン8.1.2.1、8.0.4.1、および7.2.3.1以前では、`SafeBuffer#%`が新たに作成されたバッファに`@html_unsafe`フラグを伝播しません。`SafeBuffer`がインプレースで変更され（例えば`gsub!`を介して）、その後信頼できない引数を使用して`%`でフォーマットされる場合、結果は誤って`html_safe? == true`と報告し、ERBの自動エスケープをバイパスしてXSSを引き起こす可能性があります。バージョン8.1.2.1、8.0.4.1、および7.2.3.1にはこの問題を修正するパッチが含まれています。

IBM QRadar SIEM 7.5.0 から 7.5.0 Update Package 14 までにクロスサイトスクリプティングの脆弱性が存在します。この脆弱性により、認証済みユーザーは任意のJavaScriptコードをWeb UIに埋め込むことが可能となり、本来の機能を変更し、信頼されたセッション内で認証情報が漏洩する可能性があります。

Discourseはオープンソースのディスカッションプラットフォームです。バージョン2026.3.0-latest.1、2026.2.1、および2026.1.2以前のSharedAiConversationモデルのoneboxメソッドは、会話のタイトルを適切にサニタイズせずに直接HTMLにレンダリングしてしまいます。バージョン2026.3.0-latest.1、2026.2.1、および2026.1.2にはこの問題を修正する更新が含まれています。対策としては、`ai_bot_public_sharing_allowed_groups`サイト設定を変更し、アクセスを厳格に制限することが推奨されます。

Discourseはオープンソースのディスカッションプラットフォームです。2026.3.0-latest.1、2026.2.1、および2026.1.2より前のバージョンには、AI大規模言語モデル（LLM）からの未加工の出力を信頼し、Review QueueインターフェースでhtmlSafeを使用して適切にサニタイズせずにレンダリングすることによりクロスサイトスクリプティングの脆弱性が発生します。悪意のある攻撃者は有効なプロンプトインジェクション技術を用いてAIに悪意のあるペイロード（例：タグ）を返すよう強制できます。スタッフメンバー（管理者やモデレーター）がReview Queueでフラグが立てられた投稿を閲覧すると、そのペイロードが実行されます。バージョン2026.3.0-latest.1、2026.2.1、および2026.1.2には修正パッチが適用されています。回避策として、一時的にAIトリアージ自動化スクリプトを無効化してください。

WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン25.0以下には、認証されていない攻撃者が被害者のブラウザで任意のJavaScriptを実行できる反射型XSS脆弱性があります。URLパラメータからのユーザー入力がPHPのjson_encode()を経由してJavaScript関数に渡され、innerHTMLによってレンダリングされるため、エンコードを回避して完全なスクリプト実行が可能になります。この脆弱性は、JavaScriptにエスケープされていないユーザー入力が(videoNotFound.phpで)渡されることと、innerHTMLがHTMLタグを実行可能なDOMとしてレンダリングする(script.jsでの処理)という二つの問題が組み合わさって発生しています。攻撃はセッションクッキーの窃取、アカウントの乗っ取り、ログインフォームへの注入によるフィッシング、自己増殖ペイロードの拡散、管理者アカウントの侵害などにまでエスカレートする可能性があり、適切な入力サニタイズの欠如やクッキーのセキュリティ（例えばPHPSESSIDにHttpOnlyフラグが設定されていないこと）が悪用されています。この問題はバージョン26.0で修正されました。

WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン26.0以前のWWBN/AVideoには、CDNプラグインのダウンロードボタンコンポーネントに格納型クロスサイトスクリプティングの脆弱性が存在していました。ビデオレコードの`clean_title`フィールドはエスケープ処理されることなくJavaScript文字列リテラルに直接埋め込まれており、これによりビデオを作成または変更できる攻撃者が任意のJavaScriptを注入し、影響を受けるダウンロードページを訪問するユーザーのブラウザでスクリプトが実行される可能性があります。この問題はバージョン26.0で修正されています。

DiceBearはデザイナーと開発者向けのアバターライブラリです。バージョン5.0.0から、バージョン5.4.4、6.1.4、7.1.4、8.0.3、9.4.1より前のバージョンでは、ユーザー提供のオプション（`backgroundColor`、`fontFamily`、`textColor`）に由来するSVG属性値がSVG出力に挿入される前にXMLエスケープされていませんでした。これにより、アプリケーションが未検証の入力を`createAvatar()`に渡し、生成されたSVGをインラインまたは`Content-Type: image/svg+xml`として提供すると、クロスサイトスクリプティング（XSS）が発生する可能性がありました。バージョン5.4.4、6.1.4、7.1.4、8.0.3、9.4.1以降では、影響を受けるすべてのSVG属性値が適切にXMLエンティティエンコードでエスケープされるようになりました。ユーザーはリストアップされた修正済みバージョンへのアップグレードを推奨します。脆弱性を制限するいくつかの緩和策があります。ライブラリのJSONスキーマに対して入力を検証してから`createAvatar()`に渡すアプリケーションは影響を受けません。DiceBear CLIはAJVによる入力検証を行っており、脆弱ではありません。悪用するには、アプリケーションが信頼できない未検証の外部入力を直接オプション値として渡す必要があります。

Discourseはオープンソースのディスカッションプラットフォームです。2026.3.0-latest.1、2026.2.1、および2026.1.2より前のバージョンには、discourse-graphvizプラグインに格納型クロスサイトスクリプティング（XSS）の脆弱性が存在し、認証済みユーザーがDOTグラフ定義を通じて悪意のあるJavaScriptコードを注入できる可能性があります。この脆弱性はCSPが無効なインスタンスにのみ影響します。バージョン2026.3.0-latest.1、2026.2.1、および2026.1.2には、この脆弱性に対する修正が含まれています。回避策としては、graphvizプラグインを無効にすること、修正済みバージョンにアップグレードすること、またはコンテンツセキュリティポリシーを有効にすることが推奨されます。

Discourseはオープンソースのディスカッションプラットフォームです。2026.3.0-latest.1、2026.2.1、および2026.1.2以前のバージョンには、解決済み投稿ストリームのトピックタイトルに格納型XSSの脆弱性が存在する可能性があります。2026.3.0-latest.1、2026.2.1、および2026.1.2のバージョンには修正パッチが含まれています。回避策として、Content Security Policyを有効にし、XSS攻撃に対してより脆弱になるような変更が加えられていないことを確認してください。