全国公的データラボ読み込み中…
読み込んでいます…
脆弱性情報（JVN）
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 294,721 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
深刻度 Medium 種別 クロスサイトスクリプティング の検索結果：681–720 件目を表示（ページ 18）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
DELMIA Factory Resource ManagerのFactory Resource Managementには、格納型クロスサイトスクリプティング（XSS）脆弱性が存在します。この脆弱性は3DEXPERIENCE R2023xリリースから3DEXPERIENCE R2025xリリースまでのバージョンに影響を与え、攻撃者がユーザーのブラウザセッションで任意のスクリプトコードを実行できる可能性があります。
PluXmlバージョン5.8.22以前のPluXmlの記事コメント機能には、ストアド型クロスサイトスクリプティング（XSS）脆弱性が存在します。アプリケーションはコメントの「link」フィールドにユーザーが入力した内容を適切にサニタイズや検証していません。攻撃者はscript要素を使用して任意のJavaScriptコードを注入できます。注入されたペイロードはデータベースに保存され、管理者が投稿されたコメントを確認する際に管理パネルの「コメント」セクションに表示されます。悪意のあるスクリプトは一般公開されるコメント画面には反映されず、管理画面内でのみ表示されます。さらに、Administrator、Moderator、Managerの役割を持つユーザーは、既存のコメントに直接細工されたペイロードを入力することも可能です。これにより、この脆弱性は管理ユーザーを対象とした持続的なXSS問題となっています。この脆弱性はcore/admin/comments.phpに影響を及ぼします。
Adobe Experience Manager バージョン 6.5.23 以前には、保存型クロスサイトスクリプティング（XSS）の脆弱性が存在し、権限の低い攻撃者が脆弱なフォームフィールドに悪意のあるスクリプトを注入するために悪用する可能性があります。被害者が脆弱なフィールドを含むページを閲覧すると、悪意のあるJavaScriptが被害者のブラウザで実行される場合があります。
はい。製品・ベンダ・脆弱性タイプ（CWE）で全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順に表示します。
脆弱性の深刻さを0〜10で表す共通指標です。数値が大きいほど影響が大きく、緊急・重要・警告・注意などの区分で絞り込めます。
各脆弱性の詳細ページで、影響を受ける製品・ベンダを確認できます。ベンダ名は法人検索と突き合わせて企業情報もたどれます。
JVN（IPA〔情報処理推進機構〕・JPCERT/CC 提供）の公開情報を収録しています。対応の要否は必ず各JVN詳細・公式情報でご確認ください。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全294,721件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。
Adobe Experience Manager のバージョン 6.5.23 以前には、保存型クロスサイトスクリプティング（XSS）脆弱性が存在します。この脆弱性は権限の低い攻撃者によって悪用され、脆弱なフォームフィールドに悪意のあるスクリプトを注入できます。被害者が脆弱なフィールドを含むページを閲覧すると、そのブラウザ上で悪意のあるJavaScriptが実行される可能性があります。
Adobe Experience Managerのバージョン6.5.23およびそれ以前のバージョンには、格納型クロスサイトスクリプティング（XSS）の脆弱性が存在します。この脆弱性は権限の低い攻撃者によって悪用され、脆弱なフォームフィールドに悪意のあるスクリプトを注入できます。被害者が脆弱なフィールドを含むページを閲覧すると、悪意のあるJavaScriptが被害者のブラウザ上で実行される可能性があります。
Adobe Experience Manager バージョン6.5.23以前は、格納型クロスサイトスクリプティング（XSS）の脆弱性を含んでいます。この脆弱性は、権限の低い攻撃者が脆弱なフォームフィールドに悪意のあるスクリプトを注入するために悪用される可能性があります。被害者が脆弱なフィールドを含むページを閲覧すると、悪意のあるJavaScriptが被害者のブラウザ上で実行される恐れがあります。
Adobe Experience Managerのバージョン6.5.23およびそれ以前には、ストアドクロスサイトスクリプティング（XSS）の脆弱性があります。この脆弱性は権限の低い攻撃者によって悪用され、脆弱なフォームフィールドに悪意のあるスクリプトを注入できます。被害者が脆弱なフィールドを含むページを閲覧すると、悪意のあるJavaScriptがブラウザ上で実行される可能性があります。
Adobe Experience Manager バージョン6.5.23およびそれ以前のバージョンには、保存型クロスサイトスクリプティング（XSS）の脆弱性があります。この脆弱性は、権限の低い攻撃者が脆弱なフォームフィールドに悪意のあるスクリプトを注入するために悪用される可能性があります。被害者が脆弱なフィールドを含むページを閲覧すると、悪意のあるJavaScriptがブラウザで実行される恐れがあります。
Adobe Experience Managerのバージョン6.5.23およびそれ以前には、低権限の攻撃者が脆弱なフォームフィールドに悪意のあるスクリプトを注入するために悪用できる保存型クロスサイトスクリプティング（XSS）の脆弱性があります。被害者が脆弱なフィールドを含むページを閲覧すると、悪意のあるJavaScriptが被害者のブラウザで実行される可能性があります。
Adobe Experience Manager バージョン 6.5.23 以前には、低権限の攻撃者が悪意のあるスクリプトを脆弱なフォームフィールドに注入できる永続型クロスサイトスクリプティング（XSS）の脆弱性があります。被害者が脆弱なフィールドを含むページを閲覧すると、悪意のあるJavaScriptが被害者のブラウザで実行される可能性があります。
Adobe Experience Manager バージョン 6.5.23 以前には、格納型クロスサイトスクリプティング（XSS）脆弱性が存在します。この脆弱性は、権限の低い攻撃者が脆弱なフォームフィールドに悪意のあるスクリプトを注入するのに悪用される可能性があります。被害者が脆弱なフィールドを含むページを閲覧すると、悪意のある JavaScript が被害者のブラウザで実行されることがあります。
File Browserは、指定されたディレクトリ内でファイルのアップロード、削除、プレビュー、名前変更、および編集を行うためのファイル管理インターフェースです。バージョン2.62.2以前のFile BrowserのSPAインデックスページは、管理者が制御するブランディングフィールドを介して永続的なクロスサイトスクリプティング（Stored XSS）の脆弱性がありました。管理者がbranding.nameに悪意のあるペイロードを設定すると、認証されていないユーザーを含むすべての訪問者に対して永続的なJavaScriptが実行されます。この問題はバージョン2.62.2で修正されました。
Endian Firewall バージョン 3.3.25 以前には、/cgi-bin/proxypolicy.cgi の mimetypes パラメータを介した保存型クロスサイトスクリプティング（XSS）の脆弱性が存在します。認証された攻撃者は任意の JavaScript を注入でき、そのスクリプトは保存され、他のユーザーが影響を受けるページを閲覧した際に実行されます。
Endian Firewall バージョン 3.3.25 およびそれ以前のバージョンには、/cgi-bin/proxyuser.cgi の user パラメータを介して保存型クロスサイトスクリプティング（XSS）が発生する脆弱性があります。認証された攻撃者は任意のJavaScriptを注入でき、そのスクリプトは保存されます。他のユーザーが影響を受けたページを表示した際に、そのスクリプトが実行されます。
Endian Firewall バージョン 3.3.25 以前には、/cgi-bin/proxygroup.cgi の group パラメータを介した格納型クロスサイトスクリプティング（XSS）の脆弱性が存在します。認証された攻撃者は任意の JavaScript を注入でき、それが保存されて、他のユーザーが影響を受けるページを閲覧した際に実行されます。
Endian Firewall バージョン 3.3.25 およびそれ以前のバージョンには、/cgi-bin/smtpdomains.cgi の DOMAIN パラメータを通じた格納型クロスサイトスクリプティング（XSS）の脆弱性があります。認証された攻撃者は任意の JavaScript を注入でき、そのスクリプトは保存され、他のユーザーが影響を受けるページを閲覧した際に実行されます。
Endian Firewall バージョン3.3.25およびそれ以前のバージョンでは、/manage/smtpscan/domainrouting/ の domain パラメータを介して格納型クロスサイトスクリプティング（XSS）が可能です。認証された攻撃者は任意のJavaScriptを注入でき、そのスクリプトは保存され、他のユーザーが影響を受けるページを閲覧した際に実行されます。
Endian Firewall バージョン 3.3.25 以前では、/cgi-bin/smtprouting.cgi の ADDRESS BCC パラメータを通じて格納型クロスサイトスクリプティング（XSS）が可能です。認証された攻撃者は任意のJavaScriptを注入でき、そのスクリプトは保存され、他のユーザーが影響を受けるページを閲覧した際に実行されます。
phpMyFAQはオープンソースのFAQウェブアプリケーションです。バージョン4.1.1以前のphpMyFAQに含まれる正規表現ベースのSVGサニタイザー（SvgSanitizer.php）は、SVGのa href属性内のjavascript: URLにHTMLエンティティエンコーディングを使用することで回避可能でした。edit_faq権限を持つ任意のユーザーは、表示時に任意のJavaScriptを実行する悪意のあるSVGをアップロードでき、その結果、編集者から完全な管理者権限へ権限昇格が可能になります。この問題はバージョン4.1.1で修正されています。
PaperCut NG/MF 25.0.10より前のバージョンには複数のクロスサイトスクリプティング（XSS）脆弱性が存在し、認証された管理者ユーザーがさまざまなUIフィールドを通じて任意のウェブスクリプトまたはHTMLコードを挿入できる可能性があります。これにより、他の管理者のセッションを乗っ取ったり、管理者の認証されたコンテキスト（例：アクティブなログインセッションが必要）を利用して不正な操作を実行したりする恐れがあります。
IBM Aspera Sharesのバージョン1.9.9から1.11.0までには、ストアドクロスサイトスクリプティングの脆弱性があります。この脆弱性により、ユーザーはWeb UIに任意のJavaScriptコードを埋め込むことができ、本来の機能が変更され、信頼されたセッション内で認証情報が漏洩する可能性があります。
SlippersはDjangoのUIコンポーネントフレームワークです。バージョン0.6.3以前のslippersのDjangoパッケージの{% attrs %}テンプレートタグにクロスサイトスクリプティング（XSS）脆弱性が存在していました。信頼できないデータを含むコンテキスト変数が{% attrs %}に渡されると、その値がエスケープされずにHTML属性文字列に埋め込まれるため、攻撃者は属性コンテキストを抜け出して任意のHTMLやJavaScriptをレンダリングされたページに注入することが可能でした。この問題はバージョン0.6.3で修正されました。
Zohocorp ManageEngine Exchange Reporter Plusのバージョン5802以前には、「メールボックスに基づく権限」レポートにストアドXSSの脆弱性が存在します。
Zoho Corp ManageEngine Exchange Reporter Plus のバージョン 5802 より前には、ユーザー間のメール交換レポート機能にストアドクロスサイトスクリプティング（Stored XSS）の脆弱性が存在します。
Zohocorp ManageEngine Exchange Reporter Plusのバージョン5802以前には、配布リストレポートにおいてストアドXSSの脆弱性が存在します。
Zohocorp ManageEngine Exchange Reporter Plusのバージョン5802以前には、配布グループに基づく権限レポートでストアドXSSの脆弱性が存在します。
SiYuanは個人知識管理システムです。バージョン3.6.0から3.6.2未満のバージョンにおいて、バージョン3.6.0で認証不要の/api/icon/getDynamicIconエンドポイントのXSSを修正するために導入されたSanitizeSVG関数は、x:script xmlns:x="http://www.w3.org/2000/svg"のような名前空間接頭辞付きの要素名を使用することで回避可能でした。GoのHTML5パーサーは要素のタグを「script」ではなく「x:script」として記録するため、タグの検査を通過してしまいます。SVGはContent-Type:image/svg+xmlで提供され、Content Security Policyは設定されていません。ブラウザがレスポンスを直接開くと、XMLパーサーは接頭辞をSVG名前空間として解決し、埋め込まれたスクリプトを実行します。この問題はバージョン3.6.2で修正されました。
Zoho Corp の ManageEngine Exchange Reporter Plus バージョン 5802 より前のバージョンには、Equipment Mailbox Details レポートにストアド XSS の脆弱性が存在します。
Zoho Corp の ManageEngine Exchange Reporter Plus バージョン 5802 より前のバージョンには、パブリックフォルダクライアント権限レポートにおいてストアド XSS の脆弱性が存在します。
Zohocorp ManageEngine Exchange Reporter Plus のバージョン 5802 より前のバージョンには、フォルダのメッセージカウントおよびサイズレポートにストアド XSS の脆弱性が存在します。
Zoho Corp の ManageEngine Exchange Reporter Plus バージョン 5802 より前のバージョンには、所有者でないメールボックスの権限レポートにおいて、保存型クロスサイトスクリプティング（Stored XSS）の脆弱性が存在します。
Drupal Quick Editにおけるウェブページ生成中の入力の不適切な無害化により、クロスサイトスクリプティング（XSS）が発生する脆弱性があります。この問題はQuick Editのバージョン0.0.0から1.0.5未満、および2.0.0から2.0.1未満に影響を与えます。
VertiGIS FMソリューションのダッシュボード検索機能にはリフレクト型クロスサイトスクリプティング（XSS）の脆弱性が存在します。この脆弱性により、攻撃者は悪意のあるURLを作成でき、認証済みの被害者がそのURLを訪問すると、被害者のコンテキストで任意のJavaScriptが実行されます。攻撃者はリンクを送信したり、自身が作成したページに被害者を誘導したりするなど、様々な方法でこのようなURLを配布することが可能です。
Tikiバージョン26.3以前のtiki-editpage.phpのpageパラメータにクロスサイトスクリプティング（XSS）の脆弱性があります。この脆弱性を利用すると、攻撃者は細工されたペイロードを使って任意のJavaScriptコードを実行でき、機密情報にアクセスしたり不正な操作を行ったりする可能性があります。
Tikiバージョン21.2のtiki-admin_system.phpのPOSTリクエストデータzipPathにリフレクト型クロスサイトスクリプティング（XSS）の脆弱性が存在します。この脆弱性により、攻撃者は細工されたペイロードを介して任意のJavaScriptコードを実行でき、機密情報に不正にアクセスしたり無許可の操作を実行したりする可能性があります。
Checkmkバージョン2.5.0（ベータ）から2.5.0b2以前において、認証済みかつ保留中の変更を作成する権限を持つユーザーが保留中の変更サイドバーに悪意のあるJavaScriptを注入できるストアドクロスサイトスクリプティング（XSS）の脆弱性が存在します。このスクリプトはサイドバーを閲覧する他のユーザーのブラウザで実行されます。
DooTask v1.6.27には、/manage/project/id ページの入力フィールド projectDesc を介してクロスサイトスクリプティング（XSS）脆弱性が存在します。
Lightcms v2.0 の /admin/menus コンポーネントにリフレクト型クロスサイトスクリプティング（XSS）脆弱性が存在します。この脆弱性により、攻撃者はリクエストヘッダー内のリファラー値を変更してユーザーのブラウザのコンテキストで任意のJavaScriptを実行できます。
Checkmk 2.5.0（ベータ版）から2.5.0b2未満のバージョンにおいて、認証済みユーザーでホストまたはサービスを作成する権限を持つ者が、統合検索機能で検索を行う他のユーザーのブラウザ上で任意のJavaScriptを実行できる蓄積型クロスサイトスクリプティング（XSS）の脆弱性が存在します。
Autheliaは、ウェブポータルを介してアプリケーション向けに二要素認証およびシングルサインオン（SSO）を提供するオープンソースの認証および認可サーバーです。バージョン4.39.15において、複数の条件が同時に満たされた場合に、攻撃者がAutheliaのログインページにJavaScriptを注入できる可能性があります。`script-src`と`connect-src`の両方のディレクティブが変更されていない限り、この影響が意味のあるものになることはほぼ不可能です。しかし、これらの両方が変更され、その潜在的な影響を考慮せずに行われた場合、この脆弱性が悪用される状況が存在します。この原因は、HTMLテンプレートをレンダリングする際に`language`クッキーの値が中和されていないことにあります。この脆弱性は、Autheliaの設計上、フィンガープリンティングで発見するのが困難ですが、不可能ではありません。副次的なアプリケーションを特定する追加要件は、同時に特定するのがさらに難しい可能性がありますが、フィンガープリンティングの観点では容易になる場合もあります。ユーザーは問題を軽減するために4.39.16にアップグレードするか、4.39.14にダウングレードすることを推奨します。大多数のインストール環境は影響を受けず、ワークアラウンドは必要ありません。Content Security Policyのデフォルト値によって、この脆弱性の悪用は完全に不可能です。これはContent Security Policyを故意に削除するか、明確に危険とされるポリシーを故意に含めた場合にのみ起こり得ます。