脆弱性情報（JVN）検索・一覧

アセンブリのバリアント名に悪意を持って作成されたHTMLペイロードが含まれており、削除確認ダイアログに表示されてユーザーがクリックすると、Autodesk Fusionデスクトップアプリケーションでクロスサイトスクリプティング（XSS）の脆弱性が発生する可能性があります。悪意のある攻撃者はこの脆弱性を利用して、ローカルファイルを読み取ったり、現在のプロセスのコンテキストで任意のコードを実行したりすることができます。

Adobe Connectのバージョン2025.3、12.10およびそれ以前のバージョンは、権限昇格を引き起こす可能性のあるクロスサイトスクリプティング（XSS）脆弱性の影響を受けます。低権限の攻撃者は、この脆弱性を悪用して悪意のあるスクリプトをウェブページに注入し、被害者のアカウントやセッションに対して権限を昇格させた上でアクセスまたは制御を獲得する可能性があります。この問題を悪用するには、被害者が悪意のあるURLを訪れたり、改ざんされたウェブページと相互作用したりする必要があり、利用者の操作を要求します。影響範囲が変更されました。

Decidimは参加型民主主義のフレームワークです。バージョン0.30.5未満および0.31.0.rc1から0.31.0までの間に、ユーザー名フィールドにおける永続的なコード実行の脆弱性が存在しました。この脆弱性により、権限の低い攻撃者がコメントページを受動的に訪れることで、任意のユーザーのコンテキストにおいて任意のコードを実行できる可能性があります。これにより、機密性および完全性に重大な影響が生じる恐れがあります。この問題はバージョン0.30.5および0.31.1で修正されています。

ChurchCRMはオープンソースの教会管理システムです。バージョン6.5.3以前では、ChurchCRMのノートエディターに格納型クロスサイトスクリプティング（XSS）の脆弱性が存在していました。ノート追加権限を持つ認証済みユーザーが他のユーザー（管理者を含む）のブラウザのコンテキストで任意のJavaScriptコードを実行できました。これにより、セッションハイジャックや権限昇格、教会メンバーの機密データへの不正アクセスが発生する可能性があります。この脆弱性はバージョン6.5.3で修正されています。

CI4MSは、CodeIgniter 4をベースにしたCMSスケルトンであり、生産環境向けにモジュラーアーキテクチャ、RBAC認可、テーマサポートを提供します。バージョン0.31.0.0以前では、アプリケーションはSystem Settings内のSocial Media Managementにおけるユーザー制御入力を適切にサニタイズできていませんでした。Social MediaやSocial Media Linkを含む複数の設定フィールドが攻撃者によって制御される入力を受け入れ、その入力がサーバー側に保存され、その後適切な出力エンコードなしでレンダリングされる問題がありました。この問題はバージョン0.31.0.0で修正されました。

Payloadは無料でオープンソースのヘッドレスコンテンツ管理システムです。@payloadcms/nextのバージョン3.78.0より前のバージョンには、管理パネルに保存型クロスサイトスクリプティング（XSS）脆弱性が存在していました。コレクションへの書き込み権限を持つ認証ユーザーがコンテンツを保存すると、別のユーザーがそのコンテンツを閲覧した際にブラウザ上でスクリプトが実行される可能性がありました。この問題はバージョン3.78.0で修正されました。

ChurchCRMはオープンソースの教会管理システムです。バージョン6.5.3以前には、管理パネルのグループ作成機能に保存型クロスサイトスクリプティング（Stored XSS）脆弱性が存在していました。この脆弱性により、グループ作成権限を持つ任意のユーザーが悪意のあるJavaScriptを注入でき、管理者がそのページを閲覧した際に自動的に実行されます。これにより、攻撃者は管理者のセッションCookieを盗み、最終的に管理者アカウントを完全に乗っ取る可能性があります。この脆弱性はバージョン6.5.3で修正されています。

ChurchCRMはオープンソースの教会管理システムです。7.0.0以前のバージョンにおいて、Person Property Managementサブシステム内に格納型クロスサイトスクリプティング（XSS）の脆弱性が存在していました。この脆弱性により、認証済みユーザーは動的に割り当てられた人物プロパティを通じて任意のJavaScriptコードを注入できます。悪意のあるコードは永続的に保存され、他のユーザーがプロフィールを閲覧したり印刷ビューにアクセスした際に実行され、セッションハイジャックやアカウントの完全な侵害を引き起こす可能性があります。この問題は7.0.0で修正されました。

MyBB Downloads プラグイン 2.0.3 には、永続的なクロスサイトスクリプティングの脆弱性が存在し、通常メンバーがダウンロードタイトルフィールドを通じて悪意のあるスクリプトを注入可能です。攻撃者はタイトルパラメータに HTML/JavaScript コードを含む新しいダウンロードを送信でき、管理者が downloads.php でダウンロードを検証する際にそのコードが実行されます。

ChurchCRMはオープンソースの教会管理システムです。バージョン7.1.0より前のバージョンには、ChurchCRMのユーザープロファイル編集機能に格納型クロスサイトスクリプティングの脆弱性が存在していました。EditSelf権限を持つ管理者以外のユーザーが、自分のFacebook、LinkedIn、およびXのプロフィール欄に悪意のあるJavaScriptを注入できる可能性があります。50文字のフィールド制限により、ペイロードは3つのフィールドすべてに分散され、それぞれのonfocusイベントハンドラーが連鎖的に実行されます。攻撃者のプロフィールを管理者を含む任意のユーザーが閲覧すると、そのセッションCookieがリモートサーバーに送信されます。この脆弱性はバージョン7.1.0で修正されています。

ChurchCRMはオープンソースの教会管理システムです。バージョン7.1.0以前において、GeoPage.phpにリフレクト型クロスサイトスクリプティング（XSS）の脆弱性が存在し、認証済みユーザーなら誰でも他の認証済みユーザーのブラウザに任意のJavaScriptを注入できます。ペイロードはユーザーの操作を必要とせず、自動的にautofocusによって発動します。したがって、攻撃者は巧妙に作成したフォームを送信させることでセッションCookieを盗み、管理者アカウントを含む任意の被害者アカウントを完全に乗っ取ることが可能です。この脆弱性はバージョン7.1.0で修正されました。

ChurchCRMはオープンソースの教会管理システムです。バージョン7.1.0より前のFindFundRaiser.phpエンドポイントでは、ユーザーから提供された入力（DateStartおよびDateEnd）をHTML入力フィールドの属性に対して適切なHTML属性コンテキスト用の出力エンコーディングを行わずに反映していました。認証された攻撃者は、他の認証ユーザーがアクセスした際に任意のJavaScriptを実行する悪意のあるURLを作成できます。これは反射型XSSの脆弱性を構成します。この脆弱性はバージョン7.1.0で修正されました。

Budibaseはオープンソースのローコードプラットフォームです。バージョン3.32.5以前のBudibaseのBuilderコマンドパレットは、エンティティ名（テーブル、ビュー、クエリ、自動化）をSvelteの{@html}ディレクティブを使ってサニタイズせずにレンダリングしていました。認証されたBuilderアクセス権を持つユーザーは、名前にHTMLペイロード（例：img src=x onerror=alert(document.domain)）を含むテーブル、自動化、ビュー、またはクエリを作成できます。同じワークスペース内のBuilderロールユーザーがコマンドパレット（Ctrl+K）を開くと、ペイロードがブラウザ上で実行され、セッションクッキーが盗まれてアカウントを完全に乗っ取られる可能性があります。この問題はバージョン3.32.5で修正されました。

CI4MSは、CodeIgniter 4をベースとしたCMSスケルトンであり、RBAC認可とテーマサポートを備えた本番環境対応のモジュラーアーキテクチャを提供します。バージョン0.31.0.0より前のアプリケーションでは、システム設定のメール設定内でユーザー制御の入力を適切にサニタイズできていませんでした。メールサーバー、メールポート、メールアドレス、メールパスワード、メールプロトコル、およびTLS設定を含む複数の設定フィールドが攻撃者によって制御された入力を受け入れ、その入力はサーバー側に保存された後に適切な出力エンコーディングなしでレンダリングされてしまいます。この問題はバージョン0.31.0.0で修正されています。

SolarWinds Observability Self-Hostedは保存型クロスサイトスクリプティングの脆弱性の影響を受けており、悪用されると意図しないスクリプトが実行される可能性があります。

SolarWinds Observability Self-Hostedには、格納型クロスサイトスクリプティングの脆弱性が存在することが判明しました。この脆弱性が悪用されると、意図しないスクリプトが実行される可能性があります。

Seafile Server バージョン 13.0.15、13.0.16-pro、12.0.14 およびそれ以前のバージョンには、複数のストアド型XSS脆弱性が存在し、13.0.17、13.0.17-pro、12.0.20-pro で修正されました。これらの脆弱性は Seadoc (sdoc) エディタを通じて発生します。アプリケーションはドキュメント構造の更新に関する WebSocket メッセージを適切にサニタイズしていません。そのため、認証済みのリモート攻撃者が埋め込み Excalidraw ホワイトボードの src 属性やアンカータグの href 属性を介して悪意のある JavaScript ペイロードを注入できる可能性があります。

Express XSS Sanitizerは、Cross Site Scripting（XSS）攻撃を防ぐためにユーザー入力データ（req.body、req.query、req.headersおよびreq.params）をサニタイズするExpress 4.xおよび5.xのミドルウェアです。バージョン2.0.2未満には、制限的なサニタイズ設定が黙って無視される脆弱性が存在していました。バージョン2.0.2では、明示的に提供された空の設定を尊重するように検証ロジックが更新されました。現在、allowedTagsまたはallowedAttributesが提供された場合（空であっても）、それらは上書きされることなく直接sanitize-htmlに渡されます。

WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン26.0までのYPTWallet Stripe決済確認ページでは、`$_REQUEST['plugin']`パラメータをエンコードやサニタイズなしに直接JavaScriptブロック内に出力しています。`plugin`パラメータは`security.php`に定義されているフレームワークの入力フィルターリストに含まれていないため、完全に未加工のまま通過します。攻撃者は悪意のあるURLを作成して被害ユーザーに送信することで、任意のJavaScriptを注入可能です。同じスクリプトブロックは現在のユーザーのユーザー名とパスワードハッシュを`User::getUserName()`および`User::getUserPass()`を通じて出力するため、XSSが成功するとこれらの認証情報を即座に盗み出すことができます。コミットfa0bc102493a15d79fe03f86c07ab7ca1b5b63e2でこの問題は修正されました。

Connect-CMSはコンテンツ管理システムです。バージョン1.35.0から1.41.0および2.35.0から2.41.0にかけて、CabinetプラグインのリストビューにDOMベースのクロスサイトスクリプティング（XSS）の脆弱性が存在していました。バージョン1.41.1および2.41.1でこの問題は修正されています。

PhreeBooks ERP 5.2.3には、認証された攻撃者が画像アップロードエンドポイントにリクエストを送信することで悪意のあるファイルをアップロードできる、Image Managerコンポーネントの任意ファイルアップロードの脆弱性があります。攻撃者はimgFileパラメータを介してbizuno/image/managerエンドポイントにPHPファイルをアップロードし、bizunoFS.phpスクリプトを通じてリモートコードを実行できます。

StatamicはLaravelとGitを基盤としたコンテンツ管理システム（CMS）です。バージョン5.73.14および6.7.0以前では、SVGアセットの再アップロードにおける格納型XSS脆弱性により、アセットアップロード権限を持つ認証済みユーザーがSVGのサニタイズを回避し、アセット閲覧時に悪意のあるJavaScriptを実行させることが可能でした。この脆弱性はバージョン5.73.14および6.7.0で修正されています。

PostalはオープンソースのSMTPサーバーです。Postalのバージョン3.3.5未満には、管理者インターフェースにエスケープされていないデータを含むHTMLインジェクションの脆弱性がありました。エスケープされていないデータが追加される主な方法は、APIの"send/raw"メソッドを介したものです。これにより、ページに任意のHTMLが注入され、ページ内容が誤解を招く形で変更されたり、不正なJavaScriptが実行されたりする可能性があります。この脆弱性はバージョン3.3.5以降で修正されています。

Parse Serverは、Node.jsを実行できるあらゆるインフラストラクチャにデプロイ可能なオープンソースのバックエンドです。バージョン9.6.0-alpha.15および8.6.41より前では、ファイルのアップロードを許可された攻撃者が、`Content-Type`ヘッダーにMIMEパラメータ（例：`;charset=utf-8`）を追加することでファイル拡張子フィルターを回避できます。これにより、拡張子の検証がブロックリストと一致しなくなり、アクティブコンテンツがアプリケーションのドメイン下に保存・配信される可能性があります。さらに、ブラウザでスクリプトをレンダリング可能な特定のXMLベースのファイル拡張子がデフォルトのブロックリストに含まれていません。この問題は、ストアドXSS攻撃を引き起こし、セッショントークンやユーザー資格情報、またはブラウザのローカルストレージ経由でアクセス可能なその他の機密データの漏洩につながる可能性があります。バージョン9.6.0-alpha.15および8.6.41の修正では、`Content-Type`ヘッダーからMIMEパラメータを削除してから拡張子のブロックリスト照合を行うようにしました。また、デフォルトのブロックリストには、ブラウザでアクティブコンテンツをレンダリング可能な追加のXMLベース拡張子（`xsd`、`rng`、`rdf`、`rdf+xml`、`owl`、`mathml`、`mathml+xml`）が含まれるよう拡張しています。なお、`fileUpload.fileExtensions`オプションは、特定のアプリケーションで有効なファイル拡張子を許可するためのホワイトリストとして設定することを意図しており、拒否リストとして設定することは想定していません。デフォルトの拒否リストは一般的な問題のある拡張子をカバーする基本的なものであり、すべての潜在的に危険な拡張子を網羅しているわけではありません。将来的にブラウザでアクティブコンテンツをレンダリング可能な新しい拡張子が出現する可能性があるため、開発者はデフォルトの値に頼るべきではありません。回避策としては、デフォルトのブロックリストに依存するのではなく、アプリケーションが必要とするファイル拡張子のみを許可するホワイトリストとして`fileUpload.fileExtensions`オプションを設定してください。

OpenEMRは無料かつオープンソースの電子健康記録および医療業務管理アプリケーションです。バージョン8.0.0.2以前には、患者ポータルの支払いフローに格納型クロスサイトスクリプティング（XSS）の脆弱性が存在していました。この脆弱性により、患者ポータルユーザーが任意のJavaScriptを永続化させ、支払い送信を確認するスタッフのブラウザ上で実行させることが可能でした。このペイロードは`portal/lib/paylib.php`経由で格納され、`portal/portal_payment.php`内でエスケープされずにレンダリングされていました。バージョン8.0.0.2でこの問題は修正されました。

OneUptimeはオンラインサービスの監視と管理のためのソリューションです。バージョン10.0.23以前では、MarkdownビューアコンポーネントがMermaidダイアグラムをsecurityLevel: "loose"でレンダリングし、SVG出力をinnerHTML経由で挿入していました。この設定は、Mermaidダイアグラム内でインタラクティブなイベントバインディングを明示的に許可しており、Mermaidのclickディレクティブを通じて任意のJavaScriptを実行可能なXSSを引き起こす可能性があります。Markdownをレンダリングするすべてのフィールド（インシデント説明、ステータスページの告知、モニターノート）は脆弱でした。この脆弱性はバージョン10.0.23で修正されました。

CWE-79は、ウェブページ生成時に入力が適切に中和されない問題であり、linagora Twake v2023.Q1.1223において発見されました。これにより、攻撃者が任意のコードを実行できるリスクがあります。

1Panelは、Linuxサーバー管理のためのオープンソースのウェブベースコントロールパネルです。1Panel App Storeのアプリケーション詳細表示時に、保存型クロスサイトスクリプティング（XSS）脆弱性が存在します。悪意のあるスクリプトがユーザーのブラウザのコンテキストで実行され、セッションデータや機密システムインターフェースが侵害される可能性があります。v1.10.33-ltsおよびv2.0.16を含むすべての1Panelのバージョンが影響を受けます。攻撃者は悪意のあるアプリケーションを公開でき、ユーザーがそれをローカルまたはリモートでロードすると任意のスクリプトが実行されます。これにより、ユーザークッキーの窃取、システム機能への不正アクセス、または機密性、完全性、可用性を損なうその他の行動が発生するおそれがあります。この脆弱性は、`previewOnly`属性が有効なMdEditorコンポーネントによってレンダリングされるコンテンツのサニタイズが不十分であることに起因します。具体的には、App StoreがREADMEコンテンツを適切なXSS保護なしにレンダリングし、コンテンツ表示時にスクリプトが実行される問題があります。同様の問題はシステムアップグレード関連のコンポーネントにも存在します。これらはMdEditorコンポーネントに適切なXSSサニタイズを実装することで修正可能です。この脆弱性は、MdEditorコンポーネントのコンテンツレンダリング時に適切なXSS保護とサニタイズを適用することで軽減できます。パッチが適用された安全なバージョンはv1.10.34-ltsおよびv2.0.17です。

Adobe Commerceのバージョン2.4.9-alpha3、2.4.8-p3、2.4.7-p8、2.4.6-p13、2.4.5-p15、2.4.4-p16およびそれ以前のバージョンは、ストアド型クロスサイトスクリプティング（XSS）脆弱性の影響を受けます。この脆弱性は、高権限の攻撃者が脆弱なフォームフィールドに悪意のあるスクリプトを注入するために悪用される可能性があります。被害者が脆弱なフィールドを含むページを閲覧すると、悪意のあるJavaScriptが被害者のブラウザで実行される可能性があります。攻撃者がこれを悪用すると、セッションの乗っ取りが可能となり、機密性および完全性に大きな影響を与えます。この問題を悪用するには、被害者が脆弱なフィールドを含むページを閲覧するというユーザーの操作が必要です。

Adobe Commerce のバージョン 2.4.9-alpha3、2.4.8-p3、2.4.7-p8、2.4.6-p13、2.4.5-p15、2.4.4-p16 およびそれ以前のバージョンには、格納型クロスサイトスクリプティング（XSS）脆弱性が存在します。この脆弱性は、権限の低い攻撃者が脆弱なフォームフィールドに悪意のあるスクリプトを注入するために悪用される可能性があります。悪意のある JavaScript は、被害者が脆弱なフィールドを含むページを閲覧した際に、そのブラウザ上で実行される可能性があります。攻撃者がこの脆弱性を悪用すると、セッション乗っ取りを実行でき、その結果、機密性および完全性に大きな影響を与えます。この問題を悪用するためには、被害者が脆弱なフィールドを含むページを閲覧するというユーザーの操作が必要です。

Adobe Commerce のバージョン 2.4.9-alpha3、2.4.8-p3、2.4.7-p8、2.4.6-p13、2.4.5-p15、2.4.4-p16 およびそれ以前のバージョンは、ストアドクロスサイトスクリプティング（XSS）脆弱性の影響を受けます。この脆弱性は、高権限を持つ攻撃者が脆弱なフォームフィールドに悪意のあるスクリプトを注入するために悪用される可能性があります。被害者が脆弱なフィールドを含むページを閲覧すると、悪意のあるJavaScriptが被害者のブラウザで実行される場合があります。攻撃者がこれを悪用すると、セッションの乗っ取りが可能となり、機密性および完全性に重大な影響を与えます。この問題を悪用するにはユーザーの相互作用が必要であり、被害者が脆弱なフィールドを含むページを閲覧しなければなりません。

Adobe Commerceのバージョン2.4.9-alpha3、2.4.8-p3、2.4.7-p8、2.4.6-p13、2.4.5-p15、2.4.4-p16およびそれ以前のバージョンは、格納型クロスサイトスクリプティング（XSS）の脆弱性に影響を受けます。この脆弱性は、高権限の攻撃者によって悪意のあるスクリプトが脆弱なフォームフィールドに注入されるために悪用される可能性があります。被害者が脆弱なフィールドを含むページを閲覧すると、悪意のあるJavaScriptがそのブラウザで実行される恐れがあります。攻撃者が成功すると、セッションの乗っ取りが引き起こされ、機密性および完全性に重大な影響を与えます。この問題を悪用するには、被害者が脆弱なフィールドを含むページを閲覧するというユーザーの操作が必要です。

ZITADELはオープンソースのアイデンティティ管理プラットフォームです。バージョン4.0.0から4.11.1までの間に、ZitadelのログインV2インターフェースでデフォルトURIリダイレクトを介したアカウント乗っ取りの可能性がある脆弱性が発見されました。この問題はバージョン4.12.0で修正されました。

Frappeはフルスタックのウェブアプリケーションフレームワークです。バージョン16.11.0および15.102.0より前のバージョンには、攻撃者が細工した画像URLを設定できる脆弱性があり、アバター表示時にXSS（クロスサイトスクリプティング）が発生しました。この脆弱性により、ウェブサイトのページコメントを通じて他のユーザーにも影響を与える可能性がありました。この問題はバージョン16.11.0および15.102.0で修正されています。

Gokapiは、自動期限切れと暗号化サポートを備えたセルフホスト型ファイル共有サーバーです。バージョン2.2.3より前のバージョンでは、悪意のある認証済みユーザーがSVGファイルをアップロードし、そのホットリンクを作成することで、保存型XSSを引き起こす可能性がありました。この問題はバージョン2.2.3で修正されています。

SalvoはRust製のウェブバックエンドフレームワークです。バージョン0.88.1以前では、関数list_htmlがフォルダのファイルビューを生成し、その中に現在のパスをレンダーして挿入していましたが、このパスが適切にサニタイズされていませんでした。そのため、リクエストパスはマッチング段階でデコードおよび正規化されますが、生のままHTMLビュー（current.path）に挿入されるため、反射型XSSが発生していました。この問題の唯一の制約は、ルートパス（例えばPoC例の/files）がサブディレクトリ（stylesやscriptsなどの一般的なもの）を持っている必要があり、そうしないとマッチングでNot Foundページが返されてしまうことです。この問題はバージョン0.88.1で修正されました。

SalvoはRust製のウェブバックエンドフレームワークです。バージョン0.88.1以前では、list_html関数がファイルやフォルダ名をサニタイズせずにフォルダのファイル一覧表示を生成していました。そのため、ウェブサイトがこの機能を使って公開ファイルへのアクセスを許可し、誰でもファイルをアップロードできる場合にXSSの脆弱性が発生する可能性があります。この問題はバージョン0.88.1で修正されました。

Vikunjaはオープンソースのセルフホスト型タスク管理プラットフォームです。バージョン2.0.0以前のアプリケーションでは、ユーザーがタスクの添付ファイルとしてSVGファイルをアップロードすることが可能でした。SVGはXMLベースのフォーマットであり、scriptタグやonloadのようなイベントハンドラーを通じてJavaScriptを実行します。アプリケーションはSVGの内容を保存前にサニタイズしていません。アップロードされたSVGファイルが直接URL経由でアクセスされると、アプリケーションのオリジン下でブラウザにインライン表示されます。その結果、埋め込まれたJavaScriptが認証済みユーザーのコンテキストで実行されます。認証トークンはlocalStorageに保存されており、JavaScriptからアクセス可能で、悪意のあるペイロードによって取得される可能性があります。バージョン2.0.0でこの問題は修正されました。

PublicCMS v5.202506.dおよびそれ以前のバージョンには、保存型XSSの脆弱性があります。アップロードされたPDFにJavaScriptペイロードが含まれている可能性があり、バックエンドのCmsFileUtils.javaでのPDFセキュリティチェックを回避します。ユーザーが悪意のあるペイロードを含むPDFファイルをシステムにアップロードし、それを閲覧すると、埋め込まれたJavaScriptペイロードが実行されます。その結果、認証情報の窃取、任意のAPI実行、その他のセキュリティ問題が発生する可能性があります。この脆弱性は、/cmsTemplate/save、/file/doUpload、/cmsTemplate/doUpload、/file/doBatchUpload、/cmsWebFile/doUploadなど、すべてのファイルアップロードエンドポイントに影響を与えます。

Chamiloは学習管理システムです。バージョン1.11.30以前では、用語集機能にストアドXSSの脆弱性が存在し、教師ロールを持つすべてのユーザーが管理者に対して悪意のあるJavaScriptコードを注入する可能性がありました。この問題はバージョン1.11.30で修正されています。