脆弱性情報（JVN）検索・一覧

SyliusはSymfony上のオープンソースのeコマースフレームワークです。認証済み保持型クロスサイトスクリプティング（XSS）脆弱性が存在しており、その原因はサニタイズされていないエンティティ名が生のHTMLとしてレンダリングされることにあります。この脆弱性はショップのフロントエンドおよび管理パネルの複数箇所に存在しています。ショップのパンくずリスト（shared/breadcrumbs.html.twig）では、パンくずリストマクロがTwigの|rawフィルタをラベルの値に使用しています。タクソン名、商品名、祖先名がこれらのラベルに直接流れ込むため、悪意のあるタクソン名（例：img src=x onerror=alert('XSS')）が店舗画面上でJavaScriptとしてレンダリングされ、実行されます。管理者用商品タクソンピッカー（ProductTaxonTreeController.js）では、rowRendererメソッドが${name}をテンプレートリテラル内に直接展開してHTMLを生成するため、管理パネルのタクソン名を通じてスクリプトインジェクションが可能になります。管理者用オートコンプリートフィールド（Tom Select）では、ドロップダウンアイテムやオプションがエンティティ名をエスケープせずに生のHTMLとしてレンダリングしているため、エンティティ名を表示する任意のオートコンプリートフィールドを通じてXSSが発生します。認証済み管理者はエンティティ名（例：タクソン名）を介して任意のHTMLまたはJavaScriptを注入でき、それがすべてのユーザーに持続的にレンダリングされます。本問題は以下のバージョンで修正されています：1.9.12、1.10.16、1.11.17、1.12.23、1.13.15、1.14.18、2.0.16、2.1.12、2.2.3以降です。

WellChooseが開発したシングルサインオンポータルシステムにはリフレクティッドクロスサイトスクリプティングの脆弱性が存在し、認証済みのリモート攻撃者がフィッシング攻撃を通じてユーザーのブラウザ上で任意のJavaScriptコードを実行できる可能性があります。

Aimeos GrapesJS CMS拡張機能は、拡張可能なコンポーネントに基づいてコンテンツページを作成するためのページエディターを提供します。2021.10.8、2022.10.8、2023.10.8、2024.10.8、および2025.10.8以前のバージョンでは、標準のコンテンツセキュリティポリシーが無効になっている場合、悪意のある編集者がJavaScriptコードを格納型XSS攻撃として注入する可能性がありました。この脆弱性は2021.10.8、2022.10.8、2023.10.8、2024.10.8、および2025.10.8で修正されています。

ウェブページ生成時の入力に対する不適切な無害化（XSSまたは「クロスサイトスクリプティング」）の脆弱性がFarktor Software E-Commerce Services Inc.のE-Commerce Packageに存在し、クロスサイトスクリプティング（XSS）を引き起こします。この問題はE-Commerce Packageのバージョン27112025までに影響があります。

Eventobotにリフレクト型クロスサイトスクリプティング（XSS）の脆弱性が発見されました。この脆弱性により、攻撃者は「/search-results」の「name」パラメータを悪用した悪意のあるURLを被害者に送信し、被害者のブラウザ上でJavaScriptコードを実行できます。この脆弱性は、セッションクッキーなどの機密ユーザーデータを盗んだり、ユーザーに代わって操作を実行したりするために悪用される可能性があります。

Aida Computer Information Technology Inc.のHotel Guest Hotspotにおいて、ウェブページ生成時の入力の不適切な無害化（XSSまたは「クロスサイトスクリプティング」）の脆弱性により、リフレクト型XSSが発生します。この問題はHotel Guest Hotspotのバージョン22012026までに影響を及ぼします。注意：ベンダーにはこの開示について早期に連絡しましたが、いかなる対応も行われませんでした。

グローバルインタラクティブデザインメディアソフトウェア株式会社のコンテンツ管理システム（CMS）において、ウェブページ生成中の入力不適切中和処理の脆弱性（XSSまたはクロスサイトスクリプティング）により、HTTPヘッダーを介してXSS攻撃が可能となる問題があります。この脆弱性は、2025年7月21日までのバージョンのコンテンツ管理システム（CMS）に影響します。

Chartbrewは、データベースやAPIに直接接続し、データを用いてチャートを作成できるオープンソースのウェブアプリケーションです。バージョン4.8.4より前のバージョンでは、ファイルタイプや内容の検証を行わずにファイル（プロジェクトロゴ）をアップロードする仕様でした。アップロード時にユーザーが提供した拡張子を信用しており、これらのファイルはuploads/ディレクトリに保存され、静的に配信されます。攻撃者は悪意のあるJavaScriptを含むHTMLファイルをアップロードすることが可能です。認証トークンはおそらくlocalStorageに保存されており（APIのレスポンスボディに返されるため）、このXSS脆弱性によりアカウントの乗っ取りにつながる可能性があります。この問題はバージョン4.8.4で修正されました。

Kestraはイベント駆動型のオーケストレーションプラットフォームです。バージョン1.1.10およびそれ以前のバージョンでは、Kestraの実行ファイルプレビューがユーザー提供のMarkdown（.md）をhtml:trueとしてインスタンス化されたmarkdown-itでレンダリングし、その生成されたHTMLをVueのv-htmlでサニタイズせずに注入します。公開時点では、公開されている修正パッチは存在していません。

マイクロチップのTimePictraにおけるWebページ生成時の入力の不適切な無害化（XSSまたはクロスサイトスクリプティング）により、情報をクエリシステムにアクセスできる脆弱性があります。この問題はTimePictraのバージョン11.0から11.3 SP2に影響します。

FluentCMS 2026には、認証された管理者がファイル管理モジュールを介してJavaScriptを埋め込んだSVGファイルをアップロードできる保存型クロスサイトスクリプティングの脆弱性があります。攻撃者は悪意のあるSVGファイルをアップロードし、そのファイルのURLにアクセスした任意のユーザーのブラウザ上でJavaScriptを実行させることが可能です。

MarkUsは学生の課題の提出および採点を行うウェブアプリケーションです。バージョン2.9.1以前では、courses/:course_id/assignments/:assignment_id/submissions/html_contentルートが学生が提出したファイルの内容を読み取り、サニタイズせずにレンダリングしていました。この問題はバージョン2.9.1で修正されました。

changedetection.ioは無料のオープンソースのウェブページ変更検出ツールです。バージョン0.54.4以前のchangedetection.ioの/rss/tag/エンドポイントに反射型クロスサイトスクリプティング（XSS）脆弱性が存在します。tag_uuidパスパラメータがHTMLエスケープされずにHTTPレスポンスボディに直接反映されます。Flaskはプレーン文字列のレスポンスに対してデフォルトでtext/htmlを返すため、ブラウザが注入されたJavaScriptを解析し実行します。この問題はバージョン0.54.4で修正されました。

SiYuanは個人用知識管理システムです。バージョン3.5.9以前には、未認証の反射型XSS脆弱性が、動的アイコンAPIエンドポイント「GET /api/icon/getDynamicIcon」のtype=8の場合に存在していました。攻撃者が制御するコンテンツがSVG出力にエスケープされずに埋め込まれます。このエンドポイントは認証不要でimage/svg+xmlを返すため、細工されたURLにより実行可能なSVG/HTMLのイベントハンドラ（例えばonerror）を注入でき、SiYuanのウェブオリジン上でJavaScriptを実行できます。これにより、ログイン中のユーザーが悪意のあるリンクを開くと、認証済みのAPI操作を連鎖的に実行し、機密データを持ち出すことが可能となります。この問題はバージョン3.5.9で修正されました。

Drupal Form Builderにおけるウェブページ生成時の入力の不適切な無害化により、クロスサイトスクリプティング（XSS）が発生する脆弱性です。この問題はDrupalのバージョン7.X-1.0から7.X-1.22までに影響します。

RLE NOVAのPlanManagerにおける保存型クロスサイトスクリプティング（XSS）の脆弱性です。この脆弱性により、攻撃者は『/index.php』の『comment』および『brand』パラメータを通じて悪意のあるペイロードを注入し、被害者のブラウザでJavaScriptコードを実行できます。ペイロードはアプリケーションに保存され、他のユーザーがアクセスした際に適切なサニタイズを行わずに表示されます。この脆弱性を悪用すると、セッションクッキーなどの機密ユーザーデータを盗むことや、ユーザーに成り代わって操作を行うことが可能です。

HumHubのカレンダーモジュールは、ユーザーが一度限りまたは定期的なイベントを作成し、参加者招待を管理し、すべての予定された活動を効率的に追跡できるようにします。バージョン1.8.11より前のバージョンでは、HumHubカレンダーモジュールのイベントタイプに保存型クロスサイトスクリプティング（XSS）脆弱性が存在し、管理者アカウントによって作成されたイベントを閲覧するユーザーに影響を及ぼしていました。この問題はバージョン1.8.11で修正されました。

International Datacasting Corporation（IDC）のSFXシリーズSuperFlex衛星受信機Web管理インターフェース バージョン101の/index.cgiエンドポイントにはリフレクト型クロスサイトスクリプティング（XSS）脆弱性があります。このアプリケーションはHTTPレスポンス内で反映する前に、`cat`パラメータを通じて提供されたユーザー入力を適切にサニタイズしないため、リモートの攻撃者が被害者のブラウザコンテキストで任意のHTMLやJavaScriptを実行する可能性があります。

International Datacasting Corporation (IDC) の SFX シリーズ SuperFlex Satellite Receiver Web 管理インターフェース バージョン101の /IDC_Logging/index.cgi エンドポイントにおけるリフレクト型クロスサイトスクリプティング（XSS）脆弱性です。この脆弱性により、リモートの攻撃者が任意のウェブスクリプトまたはHTMLを実行できます。脆弱性は、`submitType` パラメータを通じて細工されたペイロードを送信することで発生し、このペイロードが適切なエスケープ処理をされずに直接DOMに反映されることによります。

Cisco Webexの脆弱性により、認証されていないリモートの攻撃者がクロスサイトスクリプティング（XSS）攻撃を実行できる可能性がありました。Ciscoはこの脆弱性を修正しており、顧客側での対応は不要です。この脆弱性は、ユーザーが提供した入力が不適切にフィルタリングされていたことが原因でした。この脆弱性が修正される前は、攻撃者がユーザーに悪意のあるリンクをクリックさせることで、この脆弱性を悪用する可能性がありました。攻撃が成功した場合、攻撃者は対象ユーザーに対してXSS攻撃を実行できた可能性があります。

WagtailはDjango上に構築されたオープンソースのコンテンツ管理システムです。バージョン6.3.8、7.0.6、7.2.3、および7.3.1以前のバージョンには、StreamField内のTableBlockブロックをレンダリングする際に格納型クロスサイトスクリプティング（XSS）脆弱性が存在します。TableBlock StreamFieldブロックを含むページの作成または編集権限を持つユーザーは、ブロックに特別に細工されたクラス属性を設定でき、ページが閲覧されると任意のJavaScriptコードが実行されます。権限の高いユーザーがこれを閲覧すると、そのユーザーの資格情報を使用して操作が行われる可能性があります。この脆弱性は、Wagtail管理画面へのアクセス権を持たない通常のサイト訪問者によっては悪用できず、TableBlockを使用しているサイトにのみ影響します。この問題はバージョン6.3.8、7.0.6、7.2.3、および7.3.1で修正されています。

WagtailはDjango上に構築されたオープンソースのコンテンツ管理システムです。バージョン6.3.8、7.0.6、7.2.3、および7.3.1より前のバージョンにおいて、wagtail.contrib.simple_translationモジュール内の確認メッセージに格納型クロスサイトスクリプティング（XSS）脆弱性が存在します。Wagtail管理エリアにアクセス権を持つユーザーは、特別に細工されたタイトルでページを作成でき、別のユーザーが「翻訳」アクションを実行すると、任意のJavaScriptコードが実行されてしまいます。これにより、そのユーザーの資格情報を使って操作が実行される可能性があります。この脆弱性はWagtail管理にアクセスできない通常のサイト訪問者によっては悪用できません。この問題はバージョン6.3.8、7.0.6、7.2.3、および7.3.1で修正されています。

HumHubはオープンソースのエンタープライズソーシャルネットワークです。バージョン1.18.0において、Buttonコンポーネントにクロスサイトスクリプティングの脆弱性が確認されました。ソフトウェアの複数箇所で出力エンコーディングが一貫していなかったため、悪意のあるスクリプトが注入され、ユーザーのブラウザのコンテキストで実行される可能性がありました。この問題はバージョン1.18.1で修正されました。

Kubysoftにおける保存型クロスサイトスクリプティング（XSS）の脆弱性は、アップロードされたSVG画像が適切にサニタイズされていないため発生します。これにより、攻撃者はSVGファイル内に悪意のあるスクリプトを視覚コンテンツとして埋め込むことが可能となり、そのファイルがサーバーに保存されます。そして、影響を受けたリソースにアクセスする任意のユーザーのコンテキストでスクリプトが実行されます。

Kubysoftの'/kForms/app'エンドポイントの複数のパラメータを介して引き起こされる保存型クロスサイトスクリプティング（XSS）脆弱性です。この問題により、悪意のあるスクリプトが注入され、影響を受けるリソースにアクセスするユーザーのコンテキストで永続的に実行される可能性があります。

Kubysoftに影響を及ぼすクロスサイトスクリプティング（XSS）脆弱性であり、『/node/kudaby/nodeFN/procedure』エンドポイント内の複数のパラメータを介して発生します。この脆弱性により、任意のクライアントサイドスクリプトを注入することが可能で、それが直ちにHTTPレスポンスに反映され、被害者のブラウザ上で実行されます。

AliasVaultは、組み込みのメールエイリアシング機能を備えたプライバシー重視のパスワードマネージャーです。AliasVault Web Clientのバージョン0.25.3およびそれ以前には、メールレンダリング機能に保存型クロスサイトスクリプティング（XSS）脆弱性が確認されました。エイリアスの受信メールを表示する際、HTMLコンテンツはsrcdocを使用したiframe内でレンダリングされますが、これはオリジンの分離を提供しません。攻撃者は悪意のあるJavaScriptを含む細工されたメールを任意のAliasVaultメールエイリアスに送信できます。被害者がWebクライアントでそのメールを閲覧すると、スクリプトはアプリケーションと同じオリジンで実行されます。メールのHTMLコンテンツに対しては、レンダリング前にサニタイズやサンドボックス化が適用されていませんでした。この脆弱性はバージョン0.26.0で修正されました。

HomeBoxは家庭の在庫管理および整理システムです。0.24.0-rc.1より前のバージョンには、アイテムの添付ファイルアップロード機能に格納型クロスサイトスクリプティング（XSS）脆弱性が存在していました。アプリケーションはアップロードされるファイルタイプを適切に検証または制限しておらず、認証されたユーザーが実行可能なJavaScriptを含む悪意のあるHTMLやSVGファイル（ほかにもスクリプトを実行可能な形式のファイルの可能性があります）をアップロードできます。アップロードされた添付ファイルは直接リンクからアクセス可能であり、ユーザーがブラウザでそのファイルにアクセスすると、埋め込まれたJavaScriptがアプリケーションのオリジンのコンテキストで実行されます。この脆弱性は0.24.0-rc.1で修正されました。

Simple Job Scriptにはクロスサイトスクリプティングの脆弱性が存在し、認証されていない攻撃者がjobsエンドポイントのjob_type_valueパラメータを操作して悪意のあるスクリプトを注入できます。攻撃者はSVGペイロードを注入するリクエストを作成でき、被害者のブラウザで任意のJavaScriptを実行してセッションクッキーを盗んだり、不正な操作を行ったりすることが可能です。

Nokia IMPACT バージョン 19.11.2.10-20210118042150283 の Applications コンポーネントには、認証されたユーザーが /ui/rest-proxy/application の fileupload パラメーターを介して任意の JavaScript ファイルをアップロード可能な脆弱性があります。この脆弱性は、新しいアプリケーションを追加する際や既存のアプリケーションを編集する際に発生する可能性があります。認証ユーザーがファイルが公開されているウェブページを訪問すると、JavaScript コードが実行されます。

Moodle 3.10.3には、カレンダーイベントのサブタイトルフィールドに永続的なクロスサイトスクリプティングの脆弱性が含まれており、攻撃者が悪意のあるスクリプトを注入することが可能です。攻撃者は、サブタイトルのトラックラベルに悪意のあるJavaScriptを仕込んだカレンダーイベントを作成し、ユーザーがイベントを閲覧した際に任意のコードを実行させることができます。

Alerted Nodes Dashboard機能における入力パラメータの不適切な検証により、Stored HTML Injectionの脆弱性が発見されました。権限を持つ認証済みの悪意あるユーザーは、ノードラベルを編集してHTMLタグを注入することが可能です。システムがAlerted Nodes Dashboardを使用するように構成され、かつ影響を受けたノードに対してアラートが報告される場合、注入されたHTMLが被害者ユーザーのブラウザ上でレンダリングされ、フィッシングやリダイレクト攻撃を引き起こす可能性があります。既存の入力検証およびコンテンツセキュリティポリシーの設定により、完全なXSSの悪用および直接的な情報漏洩は防止されています。

CMCのSensor Map機能において、接続されたGuardianのプロパティに対する不適切な検証により、Stored HTML Injectionの脆弱性が発見されました。悪意のある認証済みユーザーが、CMCに接続されたGuardian上で管理者権限を持っている場合、Guardianのプロパティを編集してHTMLタグを注入できます。CMCでSensor Map機能が有効になっている場合、被害者のCMCユーザーがこれに対話すると、注入されたHTMLがブラウザに表示され、フィッシングやリダイレクト攻撃の可能性が生じます。既存の入力検証およびコンテンツセキュリティポリシーの設定により、完全なXSSの悪用や直接的な情報漏洩は防止されています。

DifyはオープンソースのLLMアプリ開発プラットフォームです。バージョン1.11.2より前のDifyには、チャット内でMermaidダイアグラムをレンダリングする際に格納型XSSの脆弱性が存在していました。これは、DifyのデフォルトのMermaid設定がsecurityLevel: looseを使用しており、潜在的に安全でないコンテンツを実行してしまうために発生したものです。この脆弱性はバージョン1.11.2で修正されました。

OpenSTAManagerは、技術支援および請求書発行のためのオープンソースの管理ソフトウェアです。OpenSTAManager v2.9.8およびそれ以前のバージョンには、請求書、注文、契約の修正モーダルにリフレクト型XSS脆弱性が含まれています。本アプリケーションは、$_GET['righe']パラメータから提供されるユーザー入力を適切にサニタイズせず、HTML出力に反映しています。$_GET['righe']パラメータは、htmlspecialchars()や同等の関数を使わずにHTMLのvalue属性に直接出力されます。これにより、攻撃者が属性コンテキストを突破して任意のHTMLやJavaScriptを注入できる可能性があります。

GLPIインベントリプラグインは、ネットワーク検出、インベントリ管理、ソフトウェア展開、およびGLPIエージェントのデータ収集を行う機能を持っています。バージョン1.6.6以前には、タスクジョブにリフレクト型XSSの脆弱性が存在していましたが、この脆弱性はバージョン1.6.6で修正されました。