日本公的データラボ脆弱性情報（JVN）
脆弱性情報（JVN）検索・一覧
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 289,680 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
種別 クロスサイトスクリプティング の検索結果：41–80 件目を表示（ページ 2）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
Open WebUIは、拡張性が高く、多機能でユーザーフレンドリーなセルフホスト型AIプラットフォームです。バージョン0.10.0以前のOpen WebUIでは、同一オリジンのWebワーカー内でPyodideを使ってクライアントサイドのPythonを実行していました。pyodide.http.pyfetchやjsモジュールのfetchおよびXMLHttpRequest APIを使用する保存済みチャットペイロードが、被害者が「Run」をクリックすると認証された同一オリジンのリクエストを発行できました。これにより管理者専用のエンドポイントに到達し、設定されたツールを通じてサーバーサイドでコードが実行される可能性がありました。この問題はバージョン0.10.0で修正されています。
JetBrains TeamCity 2026.1.2より前のバージョンにおいて、エージェントから報告されたデータを介してクラウドプロファイルページに格納型XSSが発生する可能性がありました。
HonoはあらゆるJavaScriptランタイムをサポートするWebアプリケーションフレームワークです。バージョン4.0.0から4.12.27未満の間、hono/cssのcx()は単純な文字列からクラス名を構築していましたが、入力をHTMLエスケープせずに結果をすでにエスケープ済みとしてマークしていたため、サーバーサイドレンダリング時にJSXのclass属性で使用された信頼できないclassNameの値が属性から抜け出し、任意のマークアップを注入される問題がありました。この問題はバージョン4.12.27で修正されました。
JetBrains YouTrack 2026.2.17394以前のバージョンには、ダイジェストメール内の記事タイトルを介した保存型クロスサイトスクリプティング（XSS）が可能である脆弱性がありました。
Dynamics 365 Customer Voice のウェブページ生成時における入力の不適切な無害化（クロスサイトスクリプティング）により、不正な攻撃者がネットワーク経由でなりすましを実行できる可能性があります。
CoderはTerraformを介してリモート開発環境を組織に提供することを可能にします。バージョン2.29.17、2.32.7、2.33.8、および2.34.2より前のバージョンでは、`AgentLogLine`ダッシュボードコンポーネントが`escapeXML: true`を指定せずに`ansi-to-html`をインスタンス化し、その結果を`dangerouslySetInnerHTML`を通じて挿入していたため、ワークスペースのエージェントログラインに埋め込まれたHTMLがライブマークアップとしてレンダリングされていました。サーバー側のサニタイズ処理はHTMLのメタキャラクターを無効化していませんでした。悪用するには、被害者が攻撃者が制御するエージェントログをダッシュボードで閲覧する必要があります。バージョン2.29.17、2.32.7、2.33.8、および2.34.2の修正では、`escapeXML: true`を有効化し、HTMLメタキャラクターをDOM挿入前にエスケープするようにしました。既知の回避策はありません。
n8n 2.8.0未満のバージョンには、認証されたユーザーがOAuth2クレデンシャルの認可URLフィールドに悪意のあるJavaScriptのURLを注入できる資格情報管理フローにクロスサイトスクリプティングの脆弱性が存在します。攻撃者は悪意のあるクレデンシャルを作成し、被害者をOAuth認可ボタンのクリックへと誘導することで、被害者の権限でブラウザセッション内において任意のスクリプトを実行させることができます。
Dell PowerProtect Data Domain のバージョン 7.7.1.0 から 8.7、LTS2026 リリースのバージョン 8.6.1.0 から 8.6.1.10、LTS2025 リリースのバージョン 8.3.1.0 から 8.3.1.30、LTS2024 リリースのバージョン 7.13.1.0 から 7.13.1.70 に格納型クロスサイトスクリプティングの脆弱性が存在します。認証されていない攻撃者がリモートアクセスを介してこの脆弱性を悪用する可能性があります。悪用された場合、情報漏洩やセッションの乗っ取り、またはクライアントサイドリクエストフォージェリが発生する恐れがあります。
Hugoは静的サイトジェネレーターです。バージョン0.162.0以前のHugoは、いくつかのマークアップ形式のコンテンツファイルを受け入れていました。text/htmlメディアタイプにマッピングされたファイル（通常は/content配下の.htmlファイル、またはcontent.mediaType = "text/html"に設定されたコンテンツアダプターによって生成されたページ）は、その本文がレンダリングされたページにそのまま出力されていました。信頼できないソースからHTMLコンテンツを取り込むサイトでは、保存済みクロスサイトスクリプティング（XSS）が発生する可能性がありました。この脆弱性はバージョン0.162.0で修正されています。
Microsoft Edge（Chromiumベース）におけるウェブページ生成時の入力の不適切な無害化（「クロスサイトスクリプティング」）により、不正な攻撃者がネットワーク上でなりすましを行うことが可能となります。
Microsoft Edge（Chromiumベース）におけるウェブページ生成時の入力の不適切な無害化（クロスサイトスクリプティング）が原因で、未承認の攻撃者がネットワーク上でなりすますことが可能になります。
Hugoは静的サイトジェネレーターです。バージョン0.60.0から0.163.3までの間、Hugoのデフォルトのコードブロックレンダラーは、Markdownのコードフェンスの言語またはインフォストリングをHTMLエスケープせずに、codeタグのclass="language-..."およびdata-lang="..."のラッパーに書き込んでいました。引用符やスクリプトペイロードを含むフェンスのインフォストリングが属性から脱出し、ライブのスクリプト要素を注入してしまう問題がありました。この問題は0.163.3で修正されています。
Microsoft Edge（Chromium ベース）におけるウェブページ生成中の入力の不適切な無害化（『クロスサイトスクリプティング』）により、権限のない攻撃者がネットワーク上でなりすましを行うことが可能になる問題です。
MCOには、アプリケーションのロゴアップロード機能を介したストアド・クロスサイトスクリプティング（XSS）の脆弱性があります。アプリケーションのロゴを変更できる攻撃者は、悪意のあるJavaScriptコードを含む細工されたSVGファイルをアップロードでき、そのロゴが表示されたり開かれたりした際にコードが実行されます。ベンダーへの連絡が成功しなかったため、本脆弱性はバージョン25.3.3.1でのみ確認されていますが、他のバージョンにも影響が及ぶ可能性があります。
MatrixやXMPPを介してHTMLチャットメッセージを送信できる攻撃者は、任意のスタイル付きコンテンツ、フィッシングリンク、およびチャットUIを操作するCSSを注入することが可能です。この脆弱性はThunderbird 152.0.1およびThunderbird 140.12.1で修正されています。
WagtailはDjango上に構築されたオープンソースのコンテンツ管理システムです。バージョン7.0.8、7.3.3、および7.4.2より前のバージョンには、Wagtail管理インターフェース内の動的画像URLジェネレーターのビューに反射型クロスサイトスクリプティング（XSS）の脆弱性が存在します。Wagtail管理の限定的な権限を持つエディターアカウントのユーザーがURLを巧妙に作成した場合、そのURLをより高い権限を持つユーザーが閲覧すると、そのユーザーの資格情報で操作を実行できる可能性があります。この脆弱性は、動的画像配信ビューを有効にしていないサイトでもすべてのサイトに存在します。ただし、この脆弱性はWagtail管理へのアクセス権を持たない通常のサイト訪問者によっては悪用されません。この問題はバージョン7.0.8、7.3.3、および7.4.2で修正されています。
Google Chrome 150.0.7871.47より前のバージョンのXMLにおける不適切な実装が原因で、リモートの攻撃者が細工されたHTMLページを介して任意のスクリプトやHTML（UXSS）を注入できる可能性がありました。（Chromium セキュリティ重要度：中）
150.0.7871.47より前のGoogle Chromeのネットワークにおける不適切な実装により、リモートの攻撃者が細工されたHTMLページを介して任意のスクリプトやHTML（UXSS）を注入できる可能性がありました。（Chromiumセキュリティの重大度は中です）
Koha Library Management System のバージョン0から25.11までのpatron restriction type管理ページにおける保管型クロスサイトスクリプティング（XSS）脆弱性により、管理者権限を持つ認証済みのリモート攻撃者がrestriction typeラベル（display_textフィールド）を介して任意のウェブスクリプトを注入可能です。
Koha Library Management Systemのバージョン0から25.11までのOPACアイテム詳細ページには格納型クロスサイトスクリプティング（XSS）の脆弱性が存在し、edit_items権限を持つ認証済みのリモート攻撃者がアイテムの公開メモフィールド（items.itemnotes）を通じて任意のWebスクリプトを注入することが可能です。
Koha Library Management System のバージョン 0 から 25.11 までのアイテムタイプ管理ページには、格納型クロスサイトスクリプティング（XSS）脆弱性が存在します。認証済みのリモート攻撃者が管理者権限を持っている場合、アイテムタイプのチェックインメッセージフィールド（checkinmsg）を通じて任意のウェブスクリプトを注入できます。
150.0.7871.47より前のiOS版Google ChromeのOmniboxに不適切な実装があり、リモートの攻撃者が特定のUIジェスチャーをユーザーに実行させることで、細工されたHTMLページを介して任意のスクリプトやHTMLを注入できるUXSSの脆弱性が存在します。
Google Chrome 150.0.7871.47以前のCSSの不適切な実装により、リモートの攻撃者が細工されたHTMLページを介して任意のスクリプトまたはHTML（UXSS）を注入できる可能性がありました。
Google Chrome バージョン150.0.7871.47以前のCSSにおける不適切な実装により、リモートの攻撃者が細工されたHTMLページを介して任意のスクリプトやHTML（UXSS）を注入できる脆弱性が存在していました。
ColdFusionのバージョン2025.9、2023.20およびそれ以前のバージョンは、リフレクト型クロスサイトスクリプティング（XSS）脆弱性の影響を受けます。攻撃者はこの脆弱性を悪用して、ウェブページに悪意のあるスクリプトを注入し、現在のユーザーのコンテキストで任意のコードを実行できます。この問題の悪用にはユーザーの操作が必要であり、被害者が悪意のあるリンクを開く必要があります。影響範囲が変更されています。
株式会社リコーが提供するWeb Image Monitorは、レーザープリンタや複合機（MFP）本体内部で動作するウェブサーバです。 Web Image Monitorには、次の脆弱性が存在します。 ・反射型クロスサイトスクリプティング（CWE-79）- CVE-2026-56809 この脆弱性情報は、下記の方が製品開発者に直接報告されました。その後、製品利用者への周知を目的に製品開発者がIPAに報告し、JPCERT/CCとの調整を経て、 JVNでの公表に至りました。 報告者：Pentest Limited Tomasz Holeksa 氏
Revive Adserver 6.0.7およびそれ以前のバージョンのzone-include.phpスクリプトには、ユーザー入力の検証が不十分な脆弱性があります。権限の低いユーザーがiFrame呼び出しタグのrefreshパラメータを悪用し、リフレクト型XSS攻撃を実行する可能性があります。
Revive Adserver 6.0.7の`maintenance-acl-check.php`および`maintenance-banners-check.php`ツールに格納型XSSの脆弱性があります。この問題は、不整合が検出された際にエンティティ名が適切にエスケープされずに表示されるため発生します。XSSペイロードが管理者が影響を受けるメンテナンスツールを使用した際に実行されるかどうかは、攻撃者の完全な制御下にありません。
stats-video.phpスクリプトにはユーザー入力に対するサニタイズが欠如している脆弱性があります。このスクリプトのURL構築方法はベストプラクティスに従っておらず、Smartyのカスタムヘルパー関数であるurlの出力は適切にエンコードもサニタイズもされていませんでした。そのため、ユーザーからの入力がエスケープされずに反映されてしまいます。
LibreChatは複数のAIプロバイダーをサポートする強化されたChatGPTクローンです。0.8.4-rc1以前のバージョンには、LibreChatのマークダウンアーティファクトプレビューパイプラインに脆弱性が存在していました。markedライブラリv15.0.12では、カスタムレンダラーがデフォルトレンダラーにフォールスルーした場合、画像のaltテキスト内のダブルクオート文字をHTMLエスケープしません。LibreChatのgenerateMarkdownHtml関数（client/src/utils/markdown.ts内）は、isSafeUrlの許可リストチェックを通過したURLに対してfalseを返すカスタム画像レンダラーをインストールしており、これによりmarkedは組み込みのレンダラーにフォールバックします。その組み込みのレンダラーはダブルクオート文字をエスケープせずにalt="..."属性に生のaltテキストを挿入します。攻撃者はaltテキストとして" onload="payloadのような文字列を巧妙に作成し、属性から抜け出して任意のイベントハンドラーを注入できます。生成されたHTMLはSandpackプレビューフレーム内のdocument.getElementById('content').innerHTMLに割り当てられ、ペイロードが被害者のブラウザで実行されます。この脆弱性は0.8.4-rc1で修正されました。
Grav 1.6.30 より前のバージョンには、管理プラグインのページエディタのデフォルトセキュリティ設定にクロスサイトスクリプティングの脆弱性があります。ページ編集権限を持つユーザーは悪意のあるスクリプトを挿入して任意のコードを実行でき、システムにアクセスするために悪質なプラグインをインストールすることが可能です。
GitLabは、バージョン16.4から18.11.6未満、19.0から19.0.3未満、および19.1から19.1.1未満のすべてのGitLab EEバージョンに影響する問題を修正しました。この問題は特定の条件下で、開発者ロールの権限を持つ認証済みユーザーが、ユーザー提供の入力の不適切なサニタイズにより、別のユーザーのセッションのコンテキストで任意のクライアントサイドコードを実行できる可能性があるものでした。
GitLabは、GitLab CE/EEの全バージョン（18.10から18.11.6未満、19.0から19.0.3未満、19.1から19.1.1未満）に影響を与える問題を修正しました。この問題は特定の条件下で、認証されていないユーザーがユーザーのブラウザセッション内で任意のJavaScriptを実行できる可能性があり、これは特定の条件下で不適切なパス検証が原因で発生していました。
K2の「アイテム作成」権限（デフォルトではAuthorレベル）を持つJoomlaユーザーは、`embedVideo`のPOSTフィールドに生の`script`タグを含む記事を投稿できます。K2はそのまま保存し、記事ページの訪問者に対してエスケープせずにレンダリングします。これにより、セキュリティ上のリスクが発生します。
K2 バージョン 2.26 以下では、`#__k2_users.image` カラムが 2 つの異なるテンプレートを通じて直接 HTML の `src` 属性にレンダリングされており、いずれの場合も HTML エスケープが行われていません。これはセキュリティ上の問題となります。
n8nのバージョン1.123.25（1.x系）以前および2.11.2（2.x系）以前には、2.12.0で修正が行われたForm TriggerノードのCSSサニタイズに関する保存型クロスサイトスクリプティング（XSS）脆弱性が存在します。この脆弱性により認証済みユーザーが悪意のあるスクリプトを注入可能です。ワークフロー作成権限を持つ攻撃者はXSSペイロードを注入でき、これによりすべてのフォーム訪問者に対して永続的にスクリプトが実行され、フォームの乗っ取りやフィッシング攻撃が可能になります。
hono 4.12.14以前には、jsxサーバーサイドレンダリングにおいてHTMLインジェクションの脆弱性が存在しており、攻撃者が不正な属性名を使用することで意図しないHTMLを注入することが可能でした。攻撃者は、引用符や山括弧のような文字を含む特別に細工された属性キーを作成し、HTMLタグの境界を破って任意の属性や要素を注入できます。
Quest NetVault Backup viewclient におけるクロスサイトスクリプティングおよび認証バイパスの脆弱性です。この脆弱性により、リモートの攻撃者は Quest NetVault Backup の影響を受けるインストール環境で認証を回避できます。この脆弱性を悪用するには、ターゲットが悪意のあるページを訪問するか、悪意のあるファイルを開くなどのユーザー操作が必要です。特定の脆弱性は viewclient のウェブページに存在しています。この問題はユーザー提供データの適切な検証が欠如していることに起因し、任意のスクリプトの挿入を引き起こす可能性があります。攻撃者はこれを他の脆弱性と組み合わせて、SYSTEM 権限のコンテキストで任意のコードを実行できます。元は ZDI-CAN-28202 でした。
Quest NetVault Backup の addclient3 におけるクロスサイトスクリプティングおよび認証バイパスの脆弱性です。この脆弱性により、リモートの攻撃者が影響を受ける Quest NetVault Backup インストールにおいて認証をバイパスできます。この脆弱性を悪用するには、ユーザーが悪意のあるページを訪問するか、悪意のあるファイルを開く必要があります。具体的な欠陥は addclient3 ウェブページ内に存在します。この問題はユーザーが提供したデータの適切な検証が不足していることに起因し、任意のスクリプト挿入を引き起こす可能性があります。攻撃者はこれを他の脆弱性と組み合わせて、SYSTEM権限のコンテキストで任意のコードを実行できます。これは以前 ZDI-CAN-27666 として知られていました。
Open VSX レジストリは、拡張機能アイコンとしてアップロードされたSVGファイルを保存前に正しくサニタイズせず、Content-Security-PolicyやContent-Disposition: attachmentといったセキュリティヘッダーなしでContent-Type: image/svg+xmlとして配信します。これにより、攻撃者は悪意のあるSVGアイコンを用いた拡張機能を公開でき、ユーザーが直接アイコンURLにアクセスした際に保存型クロスサイトスクリプティング（XSS）を引き起こす可能性があります。ローカルストレージを使用する展開環境では、スクリプトはOpen VSXアプリケーションのオリジン内で実行され、セッションを乗っ取ったり認証トークンを窃取したり、不正な拡張機能を公開したりすることが可能です。外部ストレージ（例：S3対応CDNを使用するopen-vsx.org）の場合、実行はストレージのオリジンに制限され影響は軽減されますが、攻撃者が作成したページを通じたフィッシング攻撃や資格情報の収集が依然として許容されます。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全289,680件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。