日本公的データラボ脆弱性情報（JVN）
脆弱性情報（JVN）検索・一覧
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 289,735 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
種別 クロスサイトスクリプティング 直近3年 の検索結果：721–760 件目を表示（ページ 19）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン26.0までの`view/forbiddenPage.php`および`view/warningPage.php`テンプレートでは、`$_REQUEST['unlockPassword']`パラメータが出力エンコーディングやサニタイズをせずに直接HTMLの`input`タグの属性に反映されます。攻撃者は`value`属性を抜け出すようにURLを細工し、任意のHTML属性やJavaScriptイベントハンドラを注入できます。その結果、リンクをクリックした訪問者に対してリフレクテッドXSS攻撃を実行できます。パッチはコミットf154167251c9cf183ce09cd018d07e9352310457に含まれています。
WWBN AVideoはオープンソースの動画プラットフォームです。バージョン26.0まで（26.0を含む）では、コメント内の生のHTMLのaタグおよびimgタグをサニタイズするカスタムクラスParsedownSafeWithLinksが導入されましたが、ParsedownのsafeModeが無効化されています。これにより、マークダウンのリンク構文[text](javascript:alert(1))がsanitizeATag()のサニタイズを回避し、保存型XSSの脆弱性が発生します。攻撃者はコメントのマークダウンリンクを通じて悪意のあるスクリプトを注入することが可能です。パッチはコミット3ae02fa240939dbefc5949d64f05790fd25d728dに含まれています。
hexpm（'Elixir.HexpmWeb.SharedAuthorizationView'モジュール）におけるウェブページ生成時の入力の不適切な無害化（XSS、クロスサイトスクリプティング）の脆弱性により、クロスサイトスクリプティングが可能となります。この脆弱性は、プログラムファイルlib/hexpm_web/views/shared_authorization_view.exおよびプログラムルーチン'Elixir.HexpmWeb.SharedAuthorizationView':render_grouped_scopes/3に関連しています。この問題は、hexpmの617e44c71f1dd9043870205f371d375c5c4d886d以降からc692438684ead90c3bcbfb9ccf4e63c768c668a8未満のバージョン、およびpkg:github/hexpm/hexpm@617e44c71f1dd9043870205f371d375c5c4d886dからpkg:github/hexpm/hexpm@c692438684ead90c3bcbfb9ccf4e63c768c668a8未満のバージョン、さらにhex.pmの2025年10月1日から2026年1月19日未満のバージョンに影響を与えます。
JiZhiCMS v2.5.6およびそれ以前のバージョンには、app/home/c/UserController.php内のrelease関数に格納型クロスサイトスクリプティング（XSS）脆弱性が含まれています。アプリケーションはscriptタグをフィルタリングして入力をサニタイズしようとしますが、他のHTMLタグ（例えばimgタグのonerrorなど）にある危険なイベントハンドラを再帰的に削除できません。そのため、認証されたリモートの攻撃者が/user/release.htmlへのPOSTリクエストのbodyパラメータを介して任意のウェブスクリプトやHTMLを注入できる可能性があります。
iCMS v8.0.0には、ユーザー管理コンポーネントのindex.htmlファイルにクロスサイトスクリプティング（XSS）の脆弱性があります。この脆弱性により、リモートの攻撃者がregipまたはloginipパラメータを介して任意のウェブスクリプトやHTMLを実行できる可能性があります。
Mantis Bug Tracker（MantisBT）はオープンソースの課題追跡システムです。バージョン2.28.0において、タグ削除（tag_delete.php）の際に、確認メッセージ表示時のタグ名が適切にエスケープされないため、攻撃者がHTMLを注入でき、CSP設定が許可している場合は任意のJavaScriptを実行できる可能性があります。バージョン2.28.1でこの問題は修正されました。回避策としては、コミットd6890320752ecf37bd74d11fe14fe7dc12335be9を元に戻すか、または言語ファイルを手動で編集し、$s_tag_delete_message文字列からsprintfプレースホルダー`%1$s`を削除する方法があります。
Mantis Bug Tracker (MantisBT) はオープンソースの課題追跡システムです。バージョン2.28.0では、Timeline（my_view_page.php）のHistoryから取得したタグ名の不適切なエスケープにより、攻撃者がHTMLを注入でき、CSP設定が許可する場合には任意のJavaScriptを実行できる脆弱性があります。これは、名前が変更または削除されたタグを表示するときに発生します。バージョン2.28.1で修正されました。回避策としては、問題となるHistoryのエントリをSQLで編集することと、IssueTagTimelineEvent::html()内で`$this-tag_name`をstring_html_specialchars()でラップすることが挙げられます。
WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン26.0までのすべてのバージョンにおいて、ユーザープロフィールの「about」フィールドにあるサニタイズ処理の順序に欠陥があり、登録済みユーザーが任意のJavaScriptを注入できるため、他のユーザーがそのチャンネルページを訪れた際にスクリプトが実行される可能性があります。`xss_esc()`関数は、`strip_specific_tags()`が危険なHTMLタグをマッチさせる前に入力をエンティティエンコードしますが、出力時の`html_entity_decode()`がこのエンコードを逆に戻してしまい、生の悪意あるHTMLが復元されてしまいます。パッチはコミットID 7cfdc380dae1e56bbb5de581470d9e9957445df0 に含まれています。
Phpgurukul Vehicle Record Management System v1.0 のコンポーネント /admin/profile.php に存在する格納型クロスサイトスクリプティング（XSS）脆弱性により、攻撃者は Name パラメータに細工されたペイロードを注入して任意のウェブスクリプトやHTMLを実行できます。
Phpgurukul Vehicle Record Management System v1.0のコンポーネント/admin/profile.phpに存在する格納型クロスサイトスクリプティング（XSS）脆弱性により、攻撃者はMobile Numberパラメータに細工されたペイロードを注入して任意のウェブスクリプトやHTMLを実行できます。
Phpgurukul Vehicle Record Management System v1.0 のコンポーネント /admin/edit-vehicle.php における複数のクロスサイトスクリプティング（XSS）脆弱性により、攻撃者は作成したペイロードを vehiclename、modelnumber、regnumber、vehiclesubtype、chasisnum、および enginenumber パラメータに注入し、任意のウェブスクリプトやHTMLを実行できます。
Phpgurukul Vehicle Record Management System v1.0 のコンポーネント /admin/add-brand.php に蓄積型クロスサイトスクリプティング（XSS）の脆弱性が存在します。この脆弱性により、攻撃者は細工されたペイロードを brandname パラメータに注入して、任意のウェブスクリプトやHTMLを実行できます。
Phpgurukul Vehicle Record Management System v1.0 のコンポーネント /admin/search-vehicle.php に存在する保存型クロスサイトスクリプティング（XSS）の脆弱性により、攻撃者が Search パラメータに細工されたペイロードを注入し、任意のウェブスクリプトや HTML を実行できる可能性があります。
SuiteCRMはオープンソースのエンタープライズ対応顧客関係管理（CRM）ソフトウェアアプリケーションです。SuiteCRM 7.15.0にはログインページにリフレクト型HTMLインジェクションの脆弱性が存在し、攻撃者は任意のHTMLコンテンツを注入することでフィッシング攻撃やページ改ざんを実行できます。この問題はバージョン7.15.1で修正されました。
Nextcloudのreachable files_pdfviewerのexampleディレクトリにおいて、クロスサイトスクリプティング（XSS）脆弱性が、バージョン22.2.10.33未満、23.0.12.29未満、24.0.12.28未満、25.0.13.23未満、26.0.13.20未満、27.1.11.20未満、28.0.14.11未満、29.0.16.8未満、30.0.17未満、31.0.10未満および32.0.1未満のバージョンに存在します。この脆弱性により、攻撃者は細工されたPDFファイルをviewer.htmlを通じてユーザーのブラウザコンテキストで任意のJavaScriptを実行できます。この問題の根本的な原因は、Nextcloud製品が同一オリジン基準で実行可能なサンプルコードを公開していることにあります。
Census CSWeb 8.0.1 には、ユーザー提供フィールドに格納されるクロスサイトスクリプティングの脆弱性があります。リモートの認証済み攻撃者は、被害者のブラウザで実行される悪意のあるJavaScriptを格納することが可能です。この脆弱性は、8.1.0 アルファ版で修正されました。
PhreeBooks ERP 5.2.3には、認証された攻撃者が画像アップロードエンドポイントにリクエストを送信することで悪意のあるファイルをアップロードできる、Image Managerコンポーネントの任意ファイルアップロードの脆弱性があります。攻撃者はimgFileパラメータを介してbizuno/image/managerエンドポイントにPHPファイルをアップロードし、bizunoFS.phpスクリプトを通じてリモートコードを実行できます。
Wikimedia FoundationのMediaWikiにおけるウェブページ生成時に、入力の不適切な無害化（XSSまたはクロスサイトスクリプティング）が発生する脆弱性です。この脆弱性は、プログラムファイルresources/src/mediawiki.Language/mediawiki.Language.Jsに関連しています。この問題は、MediaWikiのバージョン1.39.15未満、1.43.5、1.44.2に影響を与えます。
Wikimedia FoundationのMediaWikiにおけるウェブページ生成時の入力の不適切な無害化により、クロスサイトスクリプティング（XSS）の脆弱性が存在します。この脆弱性は、includes/htmlform/CodexHTMLForm.Phpおよびincludes/htmlform/fields/HTMLButtonField.Phpというプログラムファイルに関連しています。この問題は、MediaWikiのバージョン1.39.14未満、1.43.4、および1.44.1に影響を与えます。
Sync-in Server 1.9.3より前のバージョンに存在するストアドクロスサイトスクリプティング（XSS）の脆弱性により、認証済みの攻撃者が被害者のブラウザで任意のJavaScriptを実行できます。悪意のあるペイロードを含む細工されたSVGファイルをアップロードすることで、攻撃者はユーザーのセッションクッキーを含む機密情報にアクセスして盗み出すことが可能です。
MiKaが提供するWordPress用プラグインOpenStreetMapには、次の脆弱性が存在します。 ・クロスサイトスクリプティング（CWE-79）- CVE-2026-33559 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。 報告者：高橋 直也 氏
IBM QRadar SIEM 7.5.0から7.5.0アップデートパッケージ14にかけて、クロスサイトスクリプティングの脆弱性が存在します。この脆弱性により、ユーザーは任意のJavaScriptコードをWeb UIに埋め込み、システムの意図した機能を変更することが可能になります。
SOGoのバージョン5.12.5より前のバージョンには、イベント、タスク、および連絡先のカテゴリにおいてXSS脆弱性が存在します。
Splunk Enterpriseのバージョン10.2.0未満、10.0.3、9.4.9、および9.3.9、並びにSplunk Cloud Platformのバージョン10.2.2510.4未満、10.1.2507.15、10.0.2503.11、および9.3.2411.123において、"admin"または"power"のSplunkロールを持たない低権限ユーザーが、`/manager/launcher/data/ui/views/_new`エンドポイントでビュー（設定 - ユーザーインターフェイス - ビュー）を作成する際に悪意のあるペイロードを生成できる問題があります。これはパストラバーサルの脆弱性を通じた格納型クロスサイトスクリプティング（XSS）を引き起こす可能性があり、ユーザーのブラウザで権限のないJavaScriptコードが実行される恐れがあります。攻撃者は被害者に対してフィッシングを行い、被害者がブラウザ内でリクエストを開始するよう誘導する必要があります。認証されたユーザーは任意にこの脆弱性を悪用することはできません。
OpenClawの2026年2月23日より前のバージョンには、HTMLセッションエクスポーターにHTMLインジェクションの脆弱性があります。攻撃者は、画像コンテンツブロック内に悪意のあるmimeType値を注入することで、任意のJavaScriptを実行できます。攻撃者は特別に細工されたmimeType属性を持つセッションエントリを作成し、img srcのデータURLコンテキストから抜け出して、エクスポートされたHTMLが開かれたときにクロスサイトスクリプティングを引き起こします。
SiYuanは個人向けの知識管理システムです。バージョン3.6.0以下では、モバイルファイルツリー（MobileFiles.ts）がrenamenotebookのWebSocketイベントを処理する際に、ノートブック名をinnerHTMLでHTMLエスケープせずにレンダリングしていました。一方、デスクトップ版（Files.ts）では同じ操作に対してescapeHtml()を正しく使用しています。認証済みユーザーがノートブック名を変更できる場合、任意のHTMLやJavaScriptを注入でき、それがファイルツリーを表示するモバイルクライアントで実行されます。ElectronはnodeIntegrationがtrue、contextIsolationがfalseに設定されているため、注入されたJavaScriptは完全なNode.jsアクセス権を持ち、格納されたXSSが完全なリモートコード実行にエスカレートします。モバイルレイアウトはウィンドウが狭い場合にElectronデスクトップアプリでも使用されるため、デスクトップ環境でも攻撃が可能です。この問題はバージョン3.6.1で修正されました。
FreeScoutはPHPのLaravelフレームワークで構築された無料のヘルプデスクおよび共有受信トレイです。バージョン1.8.208以下には、FreeScoutのメール通知テンプレートを通じて発生するストアドクロスサイトスクリプティング（XSS）の脆弱性があります。受信したメール本文は無加工のままデータベースに保存され、Bladeの生出力構文{!! $thread-body !!}を使って送信メール通知でエスケープされずにレンダリングされます。認証されていない攻撃者は単にメールを送信することでこの脆弱性を悪用でき、被害者の任意のエージェントや管理者が通常の作業フローの一環としてそのメールを開くと、すべての受信者に対してユニバーサルHTMLインジェクション（フィッシングやトラッキングを含む）や、脆弱なメールクライアントにおいてはJavaScriptの実行（セッションハイジャックや資格情報の窃取、アカウント乗っ取りにつながる）を可能にします。この問題はバージョン1.8.209で修正されました。
Admidioはオープンソースのユーザー管理ソリューションです。バージョン5.0.6以下では、eCard送信ハンドラーがグリーティングカードのHTMLを構築する際に、HTMLPurifierでサニタイズされた$formValues['ecard_message']の代わりに、生の$_POST['ecard_message']の値を使用していました。これにより、認証された攻撃者が他のメンバーに送信されるグリーティングカードのメールに任意のHTMLおよびJavaScriptを注入可能で、フォーム検証時にecard_messageフィールドに適切に適用されるサーバー側のHTMLPurifierサニタイズを回避できました。この攻撃によって、任意のメンバーまたは役割が正当なものに見えるフィッシングコンテンツを受け取る可能性があり、ウェブアプリケーションから受信者のメールクライアントへの侵害が発生します。この問題はバージョン5.0.7で修正されています。
ChurchCRMはオープンソースの教会管理システムです。バージョン7.0.2より前のバージョンでは、管理者ユーザーがJSONタイプのシステム設定を編集でき、そこにJavaScriptペイロードを格納可能でした。このペイロードは任意の管理者がシステム設定を閲覧した際に実行される可能性があります。SystemSettings.phpにおいてJSON入力がエスケープ・サニタイズされていなかったため、XSSの脆弱性が発生していました。この問題はバージョン7.0.2で修正されています。
SiYuanは個人用知識管理システムです。バージョン3.6.0およびそれ以前では、SanitizeSVGのブロックリストが不完全でした。href属性内のdata:text/htmlおよびdata:image/svg+xmlはブロックしますが、data:text/xmlおよびdata:application/xmlはブロックしていませんでした。これらはJavaScript実行を伴うSVGをレンダリング可能です。認証不要の/api/icon/getDynamicIconエンドポイントは、contentパラメータを介してユーザー制御の入力をfmt.Sprintfを用いてエスケープせずにSVGマークアップに直接埋め込み、Content-Type: image/svg+xmlとして提供します。これによりクリックスルー型XSSが発生します。被害者が細工されたURLにアクセスすると、注入されたリンクを含むSVGが表示され、そのリンクをクリックするとバイパスされたMIMEタイプ経由でJavaScriptがトリガーされます。この攻撃はエンドポイントへの直接のナビゲーションかobjectタグもしくはembedタグによる埋め込みが必要であり、フロントエンドのimgタグレンダリングではインタラクティブなリンクは許されません。この問題はバージョン3.6.1で修正されました。
SiYuanはパーソナル知識管理システムです。バージョン3.6.0以下では、バックエンドのrenderREADME関数がlute.New()を使用していますが、SetSanitize(true)を呼び出していないため、Markdownに埋め込まれた生のHTMLが変更されずに通過します。フロントエンドはその後、レンダリングされたHTMLを追加のサニタイズなしにinnerHTMLに割り当てます。悪意のあるパッケージ作者は、READMEに任意のJavaScriptを埋め込み、ユーザーがパッケージの詳細表示をクリックした際にそのJavaScriptを実行させることが可能です。SiYuanのElectron設定ではnodeIntegration: trueおよびcontextIsolation: falseが有効になっているため、このXSSは完全なリモートコード実行に直接エスカレートします。この問題はバージョン3.6.1で修正されました。
SiYuanはパーソナル知識管理システムです。バージョン3.6.0以下では、パッケージのメタデータフィールド（displayName、description）がHTMLエスケープされずにテンプレートリテラルを使用してレンダリングされます。悪意のあるパッケージ作成者はこれらのフィールドに任意のHTMLやJavaScriptを注入でき、ユーザーがBazaarページを閲覧する際にそれが自動的に実行されます。SiYuanのElectron設定がnodeIntegration: trueかつcontextIsolation: falseに設定されているため、このXSSは被害者のオペレーティングシステム上で完全なリモートコード実行へと直接エスカレートします。ユーザーはマーケットプレイスタブを開くだけで被害を受けます。この問題はバージョン3.6.1で修正されました。
StatamicはLaravelとGitを基盤としたコンテンツ管理システム（CMS）です。バージョン5.73.14および6.7.0以前では、SVGアセットの再アップロードにおける格納型XSS脆弱性により、アセットアップロード権限を持つ認証済みユーザーがSVGのサニタイズを回避し、アセット閲覧時に悪意のあるJavaScriptを実行させることが可能でした。この脆弱性はバージョン5.73.14および6.7.0で修正されています。
AvoはRuby on Railsアプリ用の管理パネルを作成するためのフレームワークです。バージョン3.30.3以前のAvoでは、return_toクエリパラメータにリフレクト型クロスサイトスクリプティング（XSS）の脆弱性が存在していました。攻撃者は悪意のあるURLを作成し、それを使って動的に生成されたナビゲーションボタンをクリックさせることで、任意のJavaScriptを実行させることが可能でした。この問題はバージョン3.30.3で修正されました。
NLTK（Natural Language Toolkit）は、自然言語処理の研究開発を支援するオープンソースのPythonモジュール、データセット、およびチュートリアルのスイートです。バージョン3.9.3以前では、`nltk.app.wordnet_app`の`lookup_...`ルートにリフレクト型クロスサイトスクリプティングの問題が存在していました。細工された`lookup_payload`のURLによって、攻撃者が制御する`word`データがHTMLにエスケープされずに反映されるため、任意のHTMLやJavaScriptをレスポンスページに注入できます。この問題はローカルのWordNetブラウザサーバーを実行しているユーザーに影響し、そのアプリケーションのブラウザのオリジンでスクリプトが実行される可能性があります。1c3f799607eeb088cab2491dcf806ae83c29ad8fのコミットでこの問題は修正されました。
Edimax GS-5008PLのファームウェアバージョン1.00.54以前には、system_name_set.cgiスクリプトに格納型クロスサイトスクリプティング（XSS）脆弱性が存在します。この脆弱性により、攻撃者はsysNameパラメータを操作して任意のスクリプトコードを注入できます。攻撃者は悪意のあるスクリプトペイロードを含む細工されたPOSTリクエストを送信でき、管理者がsystem_data.jsを含む管理ページを閲覧した際にそのスクリプトが実行されます。
Next Click Ventures RealtyScript 4.0.2にはクロスサイトスクリプティングの脆弱性が存在し、複数のパラメータで適切にサニタイズされていない悪意のある入力を注入することで、攻撃者が任意のHTMLおよびスクリプトコードを実行できる可能性があります。攻撃者は脆弱なパラメータにスクリプトのペイロードを注入したリクエストを作成し、影響を受けるアプリケーションのコンテキスト内でユーザーのブラウザセッションにおいてコードを実行できます。
Next Click Ventures RealtyScript 4.0.2では、ファイルのアップロードを適切にサニタイズしないため、攻撃者がadmin/tools.phpのfile POSTパラメータを通じて悪意のあるスクリプトを保存できます。攻撃者はJavaScriptコードを含むファイルをアップロードでき、他のユーザーがadmin/tools.phpにアクセスした際にそのコードが実行されます。
Next Click Ventures RealtyScript 4.0.2 は CSV ファイルのアップロードを適切にサニタイズしないため、攻撃者がマルチパートフォームデータのファイル名パラメータを通じて悪意のあるスクリプトを注入可能です。攻撃者はファイル名フィールドに XSS ペイロードを含むファイルをアップロードし、ファイルが処理または表示される際にユーザーのブラウザで任意の JavaScript を実行できます。
Next Click Ventures RealtyScript 4.0.2には、管理者のロケーションインターフェースのlocation_nameパラメータに格納型クロスサイトスクリプティングの脆弱性があります。攻撃者は、locations.phpエンドポイントのlocation_nameフィールドにJavaScriptペイロードを含むPOSTリクエストを送信することで、管理者のブラウザ上で任意のコードを実行できます。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全289,735件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。