脆弱性情報（JVN）検索・一覧

Adobe Experience Manager バージョン 6.5.23 以前には、ストアド クロスサイトスクリプティング（XSS）脆弱性が存在しており、権限の低い攻撃者が脆弱なフォームフィールドに悪意のあるスクリプトを注入するために悪用する可能性があります。被害者が脆弱なフィールドを含むページを閲覧すると、悪意のある JavaScript がブラウザ上で実行される恐れがあります。

Adobe Experience Managerのバージョン6.5.23以前には、保存型クロスサイトスクリプティング（XSS）の脆弱性が存在します。この脆弱性により、攻撃者は悪意のあるスクリプトを脆弱なフォームフィールドに注入する可能性があります。被害者が脆弱なフィールドを含むページを閲覧すると、悪意のあるJavaScriptが被害者のブラウザで実行される恐れがあります。

Adobe Experience Manager バージョン6.5.23およびそれ以前のバージョンには、格納型クロスサイトスクリプティング（XSS）の脆弱性があります。この脆弱性は権限の低い攻撃者によって悪用され、脆弱なフォームフィールドに悪意のあるスクリプトを注入される可能性があります。被害者が脆弱なフィールドを含むページを閲覧すると、悪意のあるJavaScriptが被害者のブラウザ内で実行される恐れがあります。

Adobe Experience Manager バージョン 6.5.23 以前には、ストアドクロスサイトスクリプティング（XSS）脆弱性が存在します。この脆弱性は、権限の低い攻撃者が脆弱なフォームフィールドに悪意のあるスクリプトを注入するために悪用される可能性があります。被害者が脆弱なフィールドを含むページを閲覧すると、悪意のあるJavaScriptが被害者のブラウザ上で実行されます。

Adobe Experience Manager バージョン 6.5.23 及びそれ以前のバージョンには、ストアドクロスサイトスクリプティング（XSS）の脆弱性が存在します。この脆弱性は、権限の低い攻撃者が悪意のあるスクリプトを脆弱なフォームフィールドに注入するために悪用する可能性があります。被害者が脆弱なフィールドを含むページを閲覧すると、悪意のあるJavaScriptが被害者のブラウザ上で実行される恐れがあります。

Adobe Experience Manager バージョン 6.5.23 以前には、保存型クロスサイトスクリプティング（XSS）の脆弱性が存在します。この脆弱性は、権限の低い攻撃者が悪意のあるスクリプトを脆弱なフォームフィールドに注入するために悪用される可能性があります。被害者が脆弱なフィールドを含むページを閲覧すると、悪意のある JavaScript がブラウザ上で実行されてしまいます。

Craft CommerceはCraft CMSのためのeコマースプラットフォームです。4.10.2および5.5.3より前のバージョンにおいて、ユーザーがCommerce Ordersテーブルから注文ステータスを更新しようとすると、格納型XSS脆弱性が存在します。注文ステータス名が適切にエスケープされずにレンダリングされるため、スクリプトが実行される可能性があります。この脆弱性は4.10.2および5.5.3で修正されています。

Craft CommerceはCraft CMSのeコマースプラットフォームです。バージョン5.5.3より前のバージョンには、Commerce InventoryページにストアドXSS脆弱性が存在しました。Product Title、Variant Title、およびVariant SKUフィールドが適切なHTMLエスケープ処理をされずにレンダリングされるため、攻撃者は任意のJavaScriptを実行可能です。この攻撃は管理者を含む任意のユーザーが在庫管理ページを閲覧した際に成立します。この脆弱性はバージョン5.5.3で修正されています。

Craft CommerceはCraft CMSのためのeコマースプラットフォームです。バージョン5.5.3以前には、Commerce SettingsのInventory Locationsページに格納型XSSの脆弱性が存在しました。Nameフィールドが適切なHTMLエスケープ処理なしにレンダリングされるため、攻撃者は任意のJavaScriptを実行可能でした。このXSS脆弱性は、管理者または製品編集権限を持つユーザーがバリアント製品を作成または編集するときに発生します。この脆弱性はバージョン5.5.3で修正されています。

Craft CommerceはCraft CMS向けのeコマースプラットフォームです。バージョン4.10.2および5.5.3より前のバージョンには、Craft Commerceの注文詳細に保存型クロスサイトスクリプティング（XSS）脆弱性が存在します。悪意のあるJavaScriptは、配送方法名、注文参照、またはサイト名を介して注入可能です。ユーザーが注文一覧ページの注文をダブルクリックして注文詳細のスライドアウトを開くと、注入されたペイロードが実行されます。この脆弱性はバージョン4.10.2および5.5.3で修正されました。

Group-Officeはエンタープライズ向けの顧客関係管理およびグループウェアツールです。バージョン6.8.155、25.0.88、および26.0.10より前のバージョンには、GroupOfficeインストーラーのendpoint install/license.phpに反射型XSS脆弱性が存在します。POSTフィールドのlicenseがtextarea内でエスケープされずにレンダリングされるため、/textareascript.../scriptによってコードの挿入が可能となります。この問題はバージョン6.8.155、25.0.88、および26.0.10で修正されています。

Group-Officeはエンタープライズ向けの顧客関係管理およびグループウェアツールです。バージョン6.8.155、25.0.88、26.0.10より前のバージョンには、external/indexフローにおいて反射型XSS脆弱性が存在します。fパラメータ（Base64エンコードされたJSON）がデコードされ、その後厳格なエスケープ処理を行わずにインラインJavaScriptブロックに注入されるため、/scriptscript.../scriptの注入および被害者のブラウザでの任意のJavaScript実行が可能になります。この問題はバージョン6.8.155、25.0.88、26.0.10で修正されました。

league/commonmarkはPHPのMarkdownパーサーです。バージョン2.8.1以前のDisallowedRawHtml拡張機能には、許可されていないHTMLタグ名と閉じるの間に改行、タブ、またはその他のASCII空白文字を挿入することで回避できる問題がありました。例えば、script\nはフィルタリングされずに通過し、ブラウザによって有効なHTMLタグとしてレンダリングされます。これは、この拡張機能を使用して信頼できないユーザー入力をサニタイズするアプリケーションに対するクロスサイトスクリプティング（XSS）攻撃のベクターです。DisallowedRawHtml拡張機能を使って信頼できないMarkdownを処理するすべてのアプリケーションが影響を受けます。レンダリングされた出力に対して専用のHTMLサニタイザー（HTML Purifierなど）を使用しているアプリケーションは影響を受けません。この問題はバージョン2.8.1で修正されました。

Wallosはオープンソースのセルフホスト型個人購読トラッカーです。バージョン4.6.2以前のpasswordreset.phpは、$_GET["token"]および$_GET["email"]をhtmlspecialchars()を呼び出さずに?= $token ?および?= $email ?を使ってHTMLのinputのvalue属性に直接出力していました。これにより、属性コンテキストを抜け出す反射型XSS攻撃が可能でした。この問題はバージョン4.6.2で修正されています。

Parse ServerはNode.jsを実行できる任意のインフラストラクチャにデプロイ可能なオープンソースのバックエンドです。バージョン9.5.2-alpha.4および8.6.17より前のバージョンには、認証済みユーザーがJavaScriptを含むSVGファイルをアップロードできる保存型クロスサイトスクリプティング（XSS）の脆弱性が存在します。ファイルはContent-Type: image/svg+xmlでインライン配信され、防御用ヘッダーが設定されていないため、ブラウザはParse Serverのオリジン内で埋め込まれたスクリプトを実行してしまいます。これにより、localStorageからセッショントークンを盗み取ってアカウントを乗っ取ることが可能です。デフォルトのfileExtensionsオプションはHTMLファイル拡張子をブロックしますが、XSSのよく知られたベクターであるSVGはブロックしません。認証ユーザー向けのファイルアップロードが有効（デフォルト設定になっている）なすべてのParse Serverのデプロイメントが影響を受けます。この脆弱性はバージョン9.5.2-alpha.4および8.6.17で修正されています。

SiYuanはパーソナル知識管理システムです。バージョン3.5.10以前のSiYuanのSVGサニタイザー（SanitizeSVG）は危険な要素をブロックし、安全性を確保しますが、SVGアニメーション要素を適切に処理できず、動的に属性を危険な値に設定される可能性があります。この脆弱性により、攻撃者は実行可能なJavaScriptを注入でき、リフレクティッドXSSを引き起こす可能性があります。この問題はバージョン3.5.10で修正されました。

SiYuanはパーソナルナレッジマネジメントシステムです。バージョン3.5.10以前のSiYuanのSVGサニタイザー（SanitizeSVG）は、href属性のjavascript:プレフィックスをstrings.HasPrefix()でチェックしていましたが、ASCIIのタブ、改行、またはキャリッジリターン文字を挿入すると、このプレフィックスチェックを回避できました。ブラウザはWHATWG URL仕様に従い、URLスキームを解析する前にこれらの文字を除去するため、JavaScriptが引き続き実行されました。このため、不正なJavaScriptを注入してリフレクト型XSSを引き起こすことが可能でした。この問題はバージョン3.5.10で修正されています。

SyliusはSymfony上に構築されたオープンソースのeコマースフレームワークです。ApiLoginControllerのStimulusコントローラーで処理されるショップのチェックアウトログインフォームにクロスサイトスクリプティング（XSS）の脆弱性が存在します。ログイン試行が失敗した場合、AuthenticationFailureHandlerはmessageフィールドを含むJSONレスポンスを返します。そのmessageフィールドがinnerHTMLを使用してDOMにレンダリングされるため、そこに含まれる任意のHTMLやJavaScriptがブラウザ上で解析および実行される可能性があります。この問題はバージョン2.0.16、2.1.12、2.2.3以降で修正されています。

SyliusはSymfony上のオープンソースのeコマースフレームワークです。認証済み保持型クロスサイトスクリプティング（XSS）脆弱性が存在しており、その原因はサニタイズされていないエンティティ名が生のHTMLとしてレンダリングされることにあります。この脆弱性はショップのフロントエンドおよび管理パネルの複数箇所に存在しています。ショップのパンくずリスト（shared/breadcrumbs.html.twig）では、パンくずリストマクロがTwigの|rawフィルタをラベルの値に使用しています。タクソン名、商品名、祖先名がこれらのラベルに直接流れ込むため、悪意のあるタクソン名（例：img src=x onerror=alert('XSS')）が店舗画面上でJavaScriptとしてレンダリングされ、実行されます。管理者用商品タクソンピッカー（ProductTaxonTreeController.js）では、rowRendererメソッドが${name}をテンプレートリテラル内に直接展開してHTMLを生成するため、管理パネルのタクソン名を通じてスクリプトインジェクションが可能になります。管理者用オートコンプリートフィールド（Tom Select）では、ドロップダウンアイテムやオプションがエンティティ名をエスケープせずに生のHTMLとしてレンダリングしているため、エンティティ名を表示する任意のオートコンプリートフィールドを通じてXSSが発生します。認証済み管理者はエンティティ名（例：タクソン名）を介して任意のHTMLまたはJavaScriptを注入でき、それがすべてのユーザーに持続的にレンダリングされます。本問題は以下のバージョンで修正されています：1.9.12、1.10.16、1.11.17、1.12.23、1.13.15、1.14.18、2.0.16、2.1.12、2.2.3以降です。

WellChooseが開発したシングルサインオンポータルシステムにはリフレクティッドクロスサイトスクリプティングの脆弱性が存在し、認証済みのリモート攻撃者がフィッシング攻撃を通じてユーザーのブラウザ上で任意のJavaScriptコードを実行できる可能性があります。

Aimeos GrapesJS CMS拡張機能は、拡張可能なコンポーネントに基づいてコンテンツページを作成するためのページエディターを提供します。2021.10.8、2022.10.8、2023.10.8、2024.10.8、および2025.10.8以前のバージョンでは、標準のコンテンツセキュリティポリシーが無効になっている場合、悪意のある編集者がJavaScriptコードを格納型XSS攻撃として注入する可能性がありました。この脆弱性は2021.10.8、2022.10.8、2023.10.8、2024.10.8、および2025.10.8で修正されています。

ウェブページ生成時の入力に対する不適切な無害化（XSSまたは「クロスサイトスクリプティング」）の脆弱性がFarktor Software E-Commerce Services Inc.のE-Commerce Packageに存在し、クロスサイトスクリプティング（XSS）を引き起こします。この問題はE-Commerce Packageのバージョン27112025までに影響があります。

Eventobotにリフレクト型クロスサイトスクリプティング（XSS）の脆弱性が発見されました。この脆弱性により、攻撃者は「/search-results」の「name」パラメータを悪用した悪意のあるURLを被害者に送信し、被害者のブラウザ上でJavaScriptコードを実行できます。この脆弱性は、セッションクッキーなどの機密ユーザーデータを盗んだり、ユーザーに代わって操作を実行したりするために悪用される可能性があります。

Aida Computer Information Technology Inc.のHotel Guest Hotspotにおいて、ウェブページ生成時の入力の不適切な無害化（XSSまたは「クロスサイトスクリプティング」）の脆弱性により、リフレクト型XSSが発生します。この問題はHotel Guest Hotspotのバージョン22012026までに影響を及ぼします。注意：ベンダーにはこの開示について早期に連絡しましたが、いかなる対応も行われませんでした。

グローバルインタラクティブデザインメディアソフトウェア株式会社のコンテンツ管理システム（CMS）において、ウェブページ生成中の入力不適切中和処理の脆弱性（XSSまたはクロスサイトスクリプティング）により、HTTPヘッダーを介してXSS攻撃が可能となる問題があります。この脆弱性は、2025年7月21日までのバージョンのコンテンツ管理システム（CMS）に影響します。

Chartbrewは、データベースやAPIに直接接続し、データを用いてチャートを作成できるオープンソースのウェブアプリケーションです。バージョン4.8.4より前のバージョンでは、ファイルタイプや内容の検証を行わずにファイル（プロジェクトロゴ）をアップロードする仕様でした。アップロード時にユーザーが提供した拡張子を信用しており、これらのファイルはuploads/ディレクトリに保存され、静的に配信されます。攻撃者は悪意のあるJavaScriptを含むHTMLファイルをアップロードすることが可能です。認証トークンはおそらくlocalStorageに保存されており（APIのレスポンスボディに返されるため）、このXSS脆弱性によりアカウントの乗っ取りにつながる可能性があります。この問題はバージョン4.8.4で修正されました。

Kestraはイベント駆動型のオーケストレーションプラットフォームです。バージョン1.1.10およびそれ以前のバージョンでは、Kestraの実行ファイルプレビューがユーザー提供のMarkdown（.md）をhtml:trueとしてインスタンス化されたmarkdown-itでレンダリングし、その生成されたHTMLをVueのv-htmlでサニタイズせずに注入します。公開時点では、公開されている修正パッチは存在していません。

マイクロチップのTimePictraにおけるWebページ生成時の入力の不適切な無害化（XSSまたはクロスサイトスクリプティング）により、情報をクエリシステムにアクセスできる脆弱性があります。この問題はTimePictraのバージョン11.0から11.3 SP2に影響します。

FluentCMS 2026には、認証された管理者がファイル管理モジュールを介してJavaScriptを埋め込んだSVGファイルをアップロードできる保存型クロスサイトスクリプティングの脆弱性があります。攻撃者は悪意のあるSVGファイルをアップロードし、そのファイルのURLにアクセスした任意のユーザーのブラウザ上でJavaScriptを実行させることが可能です。

MarkUsは学生の課題の提出および採点を行うウェブアプリケーションです。バージョン2.9.1以前では、courses/:course_id/assignments/:assignment_id/submissions/html_contentルートが学生が提出したファイルの内容を読み取り、サニタイズせずにレンダリングしていました。この問題はバージョン2.9.1で修正されました。

changedetection.ioは無料のオープンソースのウェブページ変更検出ツールです。バージョン0.54.4以前のchangedetection.ioの/rss/tag/エンドポイントに反射型クロスサイトスクリプティング（XSS）脆弱性が存在します。tag_uuidパスパラメータがHTMLエスケープされずにHTTPレスポンスボディに直接反映されます。Flaskはプレーン文字列のレスポンスに対してデフォルトでtext/htmlを返すため、ブラウザが注入されたJavaScriptを解析し実行します。この問題はバージョン0.54.4で修正されました。

SiYuanは個人用知識管理システムです。バージョン3.5.9以前には、未認証の反射型XSS脆弱性が、動的アイコンAPIエンドポイント「GET /api/icon/getDynamicIcon」のtype=8の場合に存在していました。攻撃者が制御するコンテンツがSVG出力にエスケープされずに埋め込まれます。このエンドポイントは認証不要でimage/svg+xmlを返すため、細工されたURLにより実行可能なSVG/HTMLのイベントハンドラ（例えばonerror）を注入でき、SiYuanのウェブオリジン上でJavaScriptを実行できます。これにより、ログイン中のユーザーが悪意のあるリンクを開くと、認証済みのAPI操作を連鎖的に実行し、機密データを持ち出すことが可能となります。この問題はバージョン3.5.9で修正されました。

Drupal Form Builderにおけるウェブページ生成時の入力の不適切な無害化により、クロスサイトスクリプティング（XSS）が発生する脆弱性です。この問題はDrupalのバージョン7.X-1.0から7.X-1.22までに影響します。

RLE NOVAのPlanManagerにおける保存型クロスサイトスクリプティング（XSS）の脆弱性です。この脆弱性により、攻撃者は『/index.php』の『comment』および『brand』パラメータを通じて悪意のあるペイロードを注入し、被害者のブラウザでJavaScriptコードを実行できます。ペイロードはアプリケーションに保存され、他のユーザーがアクセスした際に適切なサニタイズを行わずに表示されます。この脆弱性を悪用すると、セッションクッキーなどの機密ユーザーデータを盗むことや、ユーザーに成り代わって操作を行うことが可能です。

HumHubのカレンダーモジュールは、ユーザーが一度限りまたは定期的なイベントを作成し、参加者招待を管理し、すべての予定された活動を効率的に追跡できるようにします。バージョン1.8.11より前のバージョンでは、HumHubカレンダーモジュールのイベントタイプに保存型クロスサイトスクリプティング（XSS）脆弱性が存在し、管理者アカウントによって作成されたイベントを閲覧するユーザーに影響を及ぼしていました。この問題はバージョン1.8.11で修正されました。

International Datacasting Corporation（IDC）のSFXシリーズSuperFlex衛星受信機Web管理インターフェース バージョン101の/index.cgiエンドポイントにはリフレクト型クロスサイトスクリプティング（XSS）脆弱性があります。このアプリケーションはHTTPレスポンス内で反映する前に、`cat`パラメータを通じて提供されたユーザー入力を適切にサニタイズしないため、リモートの攻撃者が被害者のブラウザコンテキストで任意のHTMLやJavaScriptを実行する可能性があります。