脆弱性情報（JVN）検索・一覧

Active SupportはRailsフレームワークから抽出されたサポートライブラリおよびRubyコア拡張のツールキットです。バージョン8.1.2.1、8.0.4.1、および7.2.3.1以前では、`SafeBuffer#%`が新たに作成されたバッファに`@html_unsafe`フラグを伝播しません。`SafeBuffer`がインプレースで変更され（例えば`gsub!`を介して）、その後信頼できない引数を使用して`%`でフォーマットされる場合、結果は誤って`html_safe? == true`と報告し、ERBの自動エスケープをバイパスしてXSSを引き起こす可能性があります。バージョン8.1.2.1、8.0.4.1、および7.2.3.1にはこの問題を修正するパッチが含まれています。

IBM QRadar SIEM 7.5.0 から 7.5.0 Update Package 14 までにクロスサイトスクリプティングの脆弱性が存在します。この脆弱性により、認証済みユーザーは任意のJavaScriptコードをWeb UIに埋め込むことが可能となり、本来の機能を変更し、信頼されたセッション内で認証情報が漏洩する可能性があります。

Discourseはオープンソースのディスカッションプラットフォームです。バージョン2026.3.0-latest.1、2026.2.1、および2026.1.2以前のSharedAiConversationモデルのoneboxメソッドは、会話のタイトルを適切にサニタイズせずに直接HTMLにレンダリングしてしまいます。バージョン2026.3.0-latest.1、2026.2.1、および2026.1.2にはこの問題を修正する更新が含まれています。対策としては、`ai_bot_public_sharing_allowed_groups`サイト設定を変更し、アクセスを厳格に制限することが推奨されます。

Discourseはオープンソースのディスカッションプラットフォームです。2026.3.0-latest.1、2026.2.1、および2026.1.2より前のバージョンには、AI大規模言語モデル（LLM）からの未加工の出力を信頼し、Review QueueインターフェースでhtmlSafeを使用して適切にサニタイズせずにレンダリングすることによりクロスサイトスクリプティングの脆弱性が発生します。悪意のある攻撃者は有効なプロンプトインジェクション技術を用いてAIに悪意のあるペイロード（例：タグ）を返すよう強制できます。スタッフメンバー（管理者やモデレーター）がReview Queueでフラグが立てられた投稿を閲覧すると、そのペイロードが実行されます。バージョン2026.3.0-latest.1、2026.2.1、および2026.1.2には修正パッチが適用されています。回避策として、一時的にAIトリアージ自動化スクリプトを無効化してください。

WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン25.0以下には、認証されていない攻撃者が被害者のブラウザで任意のJavaScriptを実行できる反射型XSS脆弱性があります。URLパラメータからのユーザー入力がPHPのjson_encode()を経由してJavaScript関数に渡され、innerHTMLによってレンダリングされるため、エンコードを回避して完全なスクリプト実行が可能になります。この脆弱性は、JavaScriptにエスケープされていないユーザー入力が(videoNotFound.phpで)渡されることと、innerHTMLがHTMLタグを実行可能なDOMとしてレンダリングする(script.jsでの処理)という二つの問題が組み合わさって発生しています。攻撃はセッションクッキーの窃取、アカウントの乗っ取り、ログインフォームへの注入によるフィッシング、自己増殖ペイロードの拡散、管理者アカウントの侵害などにまでエスカレートする可能性があり、適切な入力サニタイズの欠如やクッキーのセキュリティ（例えばPHPSESSIDにHttpOnlyフラグが設定されていないこと）が悪用されています。この問題はバージョン26.0で修正されました。

WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン26.0以前のWWBN/AVideoには、CDNプラグインのダウンロードボタンコンポーネントに格納型クロスサイトスクリプティングの脆弱性が存在していました。ビデオレコードの`clean_title`フィールドはエスケープ処理されることなくJavaScript文字列リテラルに直接埋め込まれており、これによりビデオを作成または変更できる攻撃者が任意のJavaScriptを注入し、影響を受けるダウンロードページを訪問するユーザーのブラウザでスクリプトが実行される可能性があります。この問題はバージョン26.0で修正されています。

DiceBearはデザイナーと開発者向けのアバターライブラリです。バージョン5.0.0から、バージョン5.4.4、6.1.4、7.1.4、8.0.3、9.4.1より前のバージョンでは、ユーザー提供のオプション（`backgroundColor`、`fontFamily`、`textColor`）に由来するSVG属性値がSVG出力に挿入される前にXMLエスケープされていませんでした。これにより、アプリケーションが未検証の入力を`createAvatar()`に渡し、生成されたSVGをインラインまたは`Content-Type: image/svg+xml`として提供すると、クロスサイトスクリプティング（XSS）が発生する可能性がありました。バージョン5.4.4、6.1.4、7.1.4、8.0.3、9.4.1以降では、影響を受けるすべてのSVG属性値が適切にXMLエンティティエンコードでエスケープされるようになりました。ユーザーはリストアップされた修正済みバージョンへのアップグレードを推奨します。脆弱性を制限するいくつかの緩和策があります。ライブラリのJSONスキーマに対して入力を検証してから`createAvatar()`に渡すアプリケーションは影響を受けません。DiceBear CLIはAJVによる入力検証を行っており、脆弱ではありません。悪用するには、アプリケーションが信頼できない未検証の外部入力を直接オプション値として渡す必要があります。

Discourseはオープンソースのディスカッションプラットフォームです。2026.3.0-latest.1、2026.2.1、および2026.1.2より前のバージョンには、discourse-graphvizプラグインに格納型クロスサイトスクリプティング（XSS）の脆弱性が存在し、認証済みユーザーがDOTグラフ定義を通じて悪意のあるJavaScriptコードを注入できる可能性があります。この脆弱性はCSPが無効なインスタンスにのみ影響します。バージョン2026.3.0-latest.1、2026.2.1、および2026.1.2には、この脆弱性に対する修正が含まれています。回避策としては、graphvizプラグインを無効にすること、修正済みバージョンにアップグレードすること、またはコンテンツセキュリティポリシーを有効にすることが推奨されます。

Discourseはオープンソースのディスカッションプラットフォームです。2026.3.0-latest.1、2026.2.1、および2026.1.2以前のバージョンには、解決済み投稿ストリームのトピックタイトルに格納型XSSの脆弱性が存在する可能性があります。2026.3.0-latest.1、2026.2.1、および2026.1.2のバージョンには修正パッチが含まれています。回避策として、Content Security Policyを有効にし、XSS攻撃に対してより脆弱になるような変更が加えられていないことを確認してください。

WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン26.0までの`view/forbiddenPage.php`および`view/warningPage.php`テンプレートでは、`$_REQUEST['unlockPassword']`パラメータが出力エンコーディングやサニタイズをせずに直接HTMLの`input`タグの属性に反映されます。攻撃者は`value`属性を抜け出すようにURLを細工し、任意のHTML属性やJavaScriptイベントハンドラを注入できます。その結果、リンクをクリックした訪問者に対してリフレクテッドXSS攻撃を実行できます。パッチはコミットf154167251c9cf183ce09cd018d07e9352310457に含まれています。

WWBN AVideoはオープンソースの動画プラットフォームです。バージョン26.0まで（26.0を含む）では、コメント内の生のHTMLのaタグおよびimgタグをサニタイズするカスタムクラスParsedownSafeWithLinksが導入されましたが、ParsedownのsafeModeが無効化されています。これにより、マークダウンのリンク構文[text](javascript:alert(1))がsanitizeATag()のサニタイズを回避し、保存型XSSの脆弱性が発生します。攻撃者はコメントのマークダウンリンクを通じて悪意のあるスクリプトを注入することが可能です。パッチはコミット3ae02fa240939dbefc5949d64f05790fd25d728dに含まれています。

hexpm（'Elixir.HexpmWeb.SharedAuthorizationView'モジュール）におけるウェブページ生成時の入力の不適切な無害化（XSS、クロスサイトスクリプティング）の脆弱性により、クロスサイトスクリプティングが可能となります。この脆弱性は、プログラムファイルlib/hexpm_web/views/shared_authorization_view.exおよびプログラムルーチン'Elixir.HexpmWeb.SharedAuthorizationView':render_grouped_scopes/3に関連しています。この問題は、hexpmの617e44c71f1dd9043870205f371d375c5c4d886d以降からc692438684ead90c3bcbfb9ccf4e63c768c668a8未満のバージョン、およびpkg:github/hexpm/hexpm@617e44c71f1dd9043870205f371d375c5c4d886dからpkg:github/hexpm/hexpm@c692438684ead90c3bcbfb9ccf4e63c768c668a8未満のバージョン、さらにhex.pmの2025年10月1日から2026年1月19日未満のバージョンに影響を与えます。

JiZhiCMS v2.5.6およびそれ以前のバージョンには、app/home/c/UserController.php内のrelease関数に格納型クロスサイトスクリプティング（XSS）脆弱性が含まれています。アプリケーションはscriptタグをフィルタリングして入力をサニタイズしようとしますが、他のHTMLタグ（例えばimgタグのonerrorなど）にある危険なイベントハンドラを再帰的に削除できません。そのため、認証されたリモートの攻撃者が/user/release.htmlへのPOSTリクエストのbodyパラメータを介して任意のウェブスクリプトやHTMLを注入できる可能性があります。

iCMS v8.0.0には、ユーザー管理コンポーネントのindex.htmlファイルにクロスサイトスクリプティング（XSS）の脆弱性があります。この脆弱性により、リモートの攻撃者がregipまたはloginipパラメータを介して任意のウェブスクリプトやHTMLを実行できる可能性があります。

Mantis Bug Tracker（MantisBT）はオープンソースの課題追跡システムです。バージョン2.28.0において、タグ削除（tag_delete.php）の際に、確認メッセージ表示時のタグ名が適切にエスケープされないため、攻撃者がHTMLを注入でき、CSP設定が許可している場合は任意のJavaScriptを実行できる可能性があります。バージョン2.28.1でこの問題は修正されました。回避策としては、コミットd6890320752ecf37bd74d11fe14fe7dc12335be9を元に戻すか、または言語ファイルを手動で編集し、$s_tag_delete_message文字列からsprintfプレースホルダー`%1$s`を削除する方法があります。

Mantis Bug Tracker (MantisBT) はオープンソースの課題追跡システムです。バージョン2.28.0では、Timeline（my_view_page.php）のHistoryから取得したタグ名の不適切なエスケープにより、攻撃者がHTMLを注入でき、CSP設定が許可する場合には任意のJavaScriptを実行できる脆弱性があります。これは、名前が変更または削除されたタグを表示するときに発生します。バージョン2.28.1で修正されました。回避策としては、問題となるHistoryのエントリをSQLで編集することと、IssueTagTimelineEvent::html()内で`$this-tag_name`をstring_html_specialchars()でラップすることが挙げられます。

WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン26.0までのすべてのバージョンにおいて、ユーザープロフィールの「about」フィールドにあるサニタイズ処理の順序に欠陥があり、登録済みユーザーが任意のJavaScriptを注入できるため、他のユーザーがそのチャンネルページを訪れた際にスクリプトが実行される可能性があります。`xss_esc()`関数は、`strip_specific_tags()`が危険なHTMLタグをマッチさせる前に入力をエンティティエンコードしますが、出力時の`html_entity_decode()`がこのエンコードを逆に戻してしまい、生の悪意あるHTMLが復元されてしまいます。パッチはコミットID 7cfdc380dae1e56bbb5de581470d9e9957445df0 に含まれています。

Phpgurukul Vehicle Record Management System v1.0 のコンポーネント /admin/profile.php に存在する格納型クロスサイトスクリプティング（XSS）脆弱性により、攻撃者は Name パラメータに細工されたペイロードを注入して任意のウェブスクリプトやHTMLを実行できます。

Phpgurukul Vehicle Record Management System v1.0のコンポーネント/admin/profile.phpに存在する格納型クロスサイトスクリプティング（XSS）脆弱性により、攻撃者はMobile Numberパラメータに細工されたペイロードを注入して任意のウェブスクリプトやHTMLを実行できます。

Phpgurukul Vehicle Record Management System v1.0 のコンポーネント /admin/edit-vehicle.php における複数のクロスサイトスクリプティング（XSS）脆弱性により、攻撃者は作成したペイロードを vehiclename、modelnumber、regnumber、vehiclesubtype、chasisnum、および enginenumber パラメータに注入し、任意のウェブスクリプトやHTMLを実行できます。

Phpgurukul Vehicle Record Management System v1.0 のコンポーネント /admin/add-brand.php に蓄積型クロスサイトスクリプティング（XSS）の脆弱性が存在します。この脆弱性により、攻撃者は細工されたペイロードを brandname パラメータに注入して、任意のウェブスクリプトやHTMLを実行できます。

Phpgurukul Vehicle Record Management System v1.0 のコンポーネント /admin/search-vehicle.php に存在する保存型クロスサイトスクリプティング（XSS）の脆弱性により、攻撃者が Search パラメータに細工されたペイロードを注入し、任意のウェブスクリプトや HTML を実行できる可能性があります。

SuiteCRMはオープンソースのエンタープライズ対応顧客関係管理（CRM）ソフトウェアアプリケーションです。SuiteCRM 7.15.0にはログインページにリフレクト型HTMLインジェクションの脆弱性が存在し、攻撃者は任意のHTMLコンテンツを注入することでフィッシング攻撃やページ改ざんを実行できます。この問題はバージョン7.15.1で修正されました。

Nextcloudのreachable files_pdfviewerのexampleディレクトリにおいて、クロスサイトスクリプティング（XSS）脆弱性が、バージョン22.2.10.33未満、23.0.12.29未満、24.0.12.28未満、25.0.13.23未満、26.0.13.20未満、27.1.11.20未満、28.0.14.11未満、29.0.16.8未満、30.0.17未満、31.0.10未満および32.0.1未満のバージョンに存在します。この脆弱性により、攻撃者は細工されたPDFファイルをviewer.htmlを通じてユーザーのブラウザコンテキストで任意のJavaScriptを実行できます。この問題の根本的な原因は、Nextcloud製品が同一オリジン基準で実行可能なサンプルコードを公開していることにあります。

Census CSWeb 8.0.1 には、ユーザー提供フィールドに格納されるクロスサイトスクリプティングの脆弱性があります。リモートの認証済み攻撃者は、被害者のブラウザで実行される悪意のあるJavaScriptを格納することが可能です。この脆弱性は、8.1.0 アルファ版で修正されました。

Wikimedia FoundationのMediaWikiにおけるウェブページ生成時に、入力の不適切な無害化（XSSまたはクロスサイトスクリプティング）が発生する脆弱性です。この脆弱性は、プログラムファイルresources/src/mediawiki.Language/mediawiki.Language.Jsに関連しています。この問題は、MediaWikiのバージョン1.39.15未満、1.43.5、1.44.2に影響を与えます。

Wikimedia FoundationのMediaWikiにおけるウェブページ生成時の入力の不適切な無害化により、クロスサイトスクリプティング（XSS）の脆弱性が存在します。この脆弱性は、includes/htmlform/CodexHTMLForm.Phpおよびincludes/htmlform/fields/HTMLButtonField.Phpというプログラムファイルに関連しています。この問題は、MediaWikiのバージョン1.39.14未満、1.43.4、および1.44.1に影響を与えます。

Sync-in Server 1.9.3より前のバージョンに存在するストアドクロスサイトスクリプティング（XSS）の脆弱性により、認証済みの攻撃者が被害者のブラウザで任意のJavaScriptを実行できます。悪意のあるペイロードを含む細工されたSVGファイルをアップロードすることで、攻撃者はユーザーのセッションクッキーを含む機密情報にアクセスして盗み出すことが可能です。

MiKaが提供するWordPress用プラグインOpenStreetMapには、次の脆弱性が存在します。 ・クロスサイトスクリプティング（CWE-79）- CVE-2026-33559 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。 報告者：高橋 直也 氏

IBM QRadar SIEM 7.5.0から7.5.0アップデートパッケージ14にかけて、クロスサイトスクリプティングの脆弱性が存在します。この脆弱性により、ユーザーは任意のJavaScriptコードをWeb UIに埋め込み、システムの意図した機能を変更することが可能になります。

SOGoのバージョン5.12.5より前のバージョンには、イベント、タスク、および連絡先のカテゴリにおいてXSS脆弱性が存在します。

Splunk Enterpriseのバージョン10.2.0未満、10.0.3、9.4.9、および9.3.9、並びにSplunk Cloud Platformのバージョン10.2.2510.4未満、10.1.2507.15、10.0.2503.11、および9.3.2411.123において、"admin"または"power"のSplunkロールを持たない低権限ユーザーが、`/manager/launcher/data/ui/views/_new`エンドポイントでビュー（設定 - ユーザーインターフェイス - ビュー）を作成する際に悪意のあるペイロードを生成できる問題があります。これはパストラバーサルの脆弱性を通じた格納型クロスサイトスクリプティング（XSS）を引き起こす可能性があり、ユーザーのブラウザで権限のないJavaScriptコードが実行される恐れがあります。攻撃者は被害者に対してフィッシングを行い、被害者がブラウザ内でリクエストを開始するよう誘導する必要があります。認証されたユーザーは任意にこの脆弱性を悪用することはできません。

OpenClawの2026年2月23日より前のバージョンには、HTMLセッションエクスポーターにHTMLインジェクションの脆弱性があります。攻撃者は、画像コンテンツブロック内に悪意のあるmimeType値を注入することで、任意のJavaScriptを実行できます。攻撃者は特別に細工されたmimeType属性を持つセッションエントリを作成し、img srcのデータURLコンテキストから抜け出して、エクスポートされたHTMLが開かれたときにクロスサイトスクリプティングを引き起こします。

Admidioはオープンソースのユーザー管理ソリューションです。バージョン5.0.6以下では、eCard送信ハンドラーがグリーティングカードのHTMLを構築する際に、HTMLPurifierでサニタイズされた$formValues['ecard_message']の代わりに、生の$_POST['ecard_message']の値を使用していました。これにより、認証された攻撃者が他のメンバーに送信されるグリーティングカードのメールに任意のHTMLおよびJavaScriptを注入可能で、フォーム検証時にecard_messageフィールドに適切に適用されるサーバー側のHTMLPurifierサニタイズを回避できました。この攻撃によって、任意のメンバーまたは役割が正当なものに見えるフィッシングコンテンツを受け取る可能性があり、ウェブアプリケーションから受信者のメールクライアントへの侵害が発生します。この問題はバージョン5.0.7で修正されています。

ChurchCRMはオープンソースの教会管理システムです。バージョン7.0.2より前のバージョンでは、管理者ユーザーがJSONタイプのシステム設定を編集でき、そこにJavaScriptペイロードを格納可能でした。このペイロードは任意の管理者がシステム設定を閲覧した際に実行される可能性があります。SystemSettings.phpにおいてJSON入力がエスケープ・サニタイズされていなかったため、XSSの脆弱性が発生していました。この問題はバージョン7.0.2で修正されています。

SiYuanは個人用知識管理システムです。バージョン3.6.0およびそれ以前では、SanitizeSVGのブロックリストが不完全でした。href属性内のdata:text/htmlおよびdata:image/svg+xmlはブロックしますが、data:text/xmlおよびdata:application/xmlはブロックしていませんでした。これらはJavaScript実行を伴うSVGをレンダリング可能です。認証不要の/api/icon/getDynamicIconエンドポイントは、contentパラメータを介してユーザー制御の入力をfmt.Sprintfを用いてエスケープせずにSVGマークアップに直接埋め込み、Content-Type: image/svg+xmlとして提供します。これによりクリックスルー型XSSが発生します。被害者が細工されたURLにアクセスすると、注入されたリンクを含むSVGが表示され、そのリンクをクリックするとバイパスされたMIMEタイプ経由でJavaScriptがトリガーされます。この攻撃はエンドポイントへの直接のナビゲーションかobjectタグもしくはembedタグによる埋め込みが必要であり、フロントエンドのimgタグレンダリングではインタラクティブなリンクは許されません。この問題はバージョン3.6.1で修正されました。