脆弱性情報（JVN）検索・一覧

Zstore（現在はZippy CRMと呼ばれる）のバージョン6.5.4には、反射型クロスサイトスクリプティングの脆弱性が存在し、攻撃者が検証されていない入力パラメータを通じて悪意のあるスクリプトを注入できる可能性があります。攻撃者は手動で挿入ポイントに細工されたペイロードを送信することで、被害者のブラウザコンテキスト上で任意のJavaScriptコードを実行できます。

GitLabは、GitLab CE/EEのすべてのバージョン16.2から18.7.5未満、18.8から18.8.5未満、および18.9から18.9.1未満に影響する問題を修正しました。この問題により、特定の状況下で認証されていないユーザーがMermaidサンドボックスUIに任意のスクリプトを注入できる可能性がありました。

PluXml CMSはファイルアップロード機能において保存型XSSの脆弱性があります。認証された攻撃者は悪意のあるペイロードを含むSVGファイルをアップロードでき、被害者がアップロードされた画像に関連付けられたリンクをクリックするとそのペイロードが実行されます。バージョン5.9.0-rc7では、アップロードされた画像に関連付けられたリンクをクリックしても悪意のあるコードが実行されませんが、ファイルに直接アクセスすると埋め込まれたペイロードが実行されます。ベンダーはこの脆弱性について早期に通知を受けていましたが、脆弱性の詳細や影響を受けるバージョン範囲について回答していませんでした。バージョン5.8.21と5.9.0-rc7のみがテストされて脆弱であることが確認されており、それ以外のバージョンはテストされておらず脆弱である可能性があります。

PluXml CMSは静的ページ編集機能においてストアドXSSの脆弱性を有しています。編集権限を持つ攻撃者は、任意のHTMLおよびJavaScriptをウェブサイトに注入でき、編集されたページを訪問した際にそれらがレンダリング・実行されます。ベンダーには早期にこの脆弱性が通知されましたが、脆弱性の詳細や影響を受けるバージョン範囲についての回答はありませんでした。バージョン5.8.21および5.9.0-rc7のみがテストされ、脆弱であることが確認されており、その他のバージョンはテストされておらず、脆弱である可能性があります。

IBM Engineering Lifecycle Management - Global Configuration Management 7.0.3から7.0.3 Interim Fix 017、および7.1.0から7.1.0 Interim Fix 004にかけて、IBM Global Configuration Managementにはクロスサイトスクリプティングの脆弱性があります。この脆弱性により、認証されたユーザーがWeb UIに任意のJavaScriptコードを埋め込み、本来の機能を変更できます。その結果、信頼されたセッション内で認証情報が漏洩する可能性があります。

FileMaker WebDirectのカスタムホームページにおけるクロスサイトスクリプティング（XSS）脆弱性により、不正アクセスやリモートコードの実行が発生する可能性があります。この脆弱性は、FileMaker Server 22.0.4およびFileMaker Server 21.1.7で完全に修正されました。

OpenEMRは無料でオープンソースの電子カルテおよび医療業務管理アプリケーションです。バージョン5.0.0.5から7.0.3.4の間には、請求インターフェースのUB04ヘルパーに格納型クロスサイトスクリプティングの脆弱性が存在します。変数`$data`は適切にサニタイズされずにシングルクォートで囲まれたクリックイベントハンドラに渡されます。そのため、`json_encode`を使用していても、悪意のあるユーザーは`ac' img src=x onerror=alert(document.cookie)`のようなペイロードを注入して脆弱性を引き起こすことが可能です。この脆弱性により、権限の低いユーザーでも悪意のあるJavaScriptペイロードをサーバーに埋め込み、格納型XSS攻撃を実行できます。その結果、悪意のあるユーザーはセッションCookieを盗み、管理者を偽装して不正な操作を行うことができるようになります。この問題はバージョン7.0.4で修正されています。

OpenEMRは無料かつオープンソースの電子医療記録および医療業務管理アプリケーションです。バージョン8.0.0以前において、GAD-7不安評価フォームに格納されたクロスサイトスクリプティングの脆弱性が存在しました。臨床医の権限を持つ認証済みユーザーが悪意のあるJavaScriptを注入でき、他のユーザーがフォームを閲覧した際にそのスクリプトが実行されます。これにより、セッションハイジャックやアカウント乗っ取り、さらに臨床医から管理者への権限昇格が可能となります。この問題はバージョン8.0.0で修正されています。

Dell Wyse Management SuiteのWMS 5.5より前のバージョンには、ウェブページ生成時の入力が適切に無害化されない（クロスサイトスクリプティング）脆弱性があります。リモートアクセス権限が低い攻撃者がこの脆弱性を悪用し、スクリプトを注入する可能性があります。

Docmostはオープンソースの協働型ウィキおよびドキュメント作成ソフトウェアです。バージョン0.25.0より前のバージョンでは、Docmostの公開共有ページ機能がページタイトルをmetaタグやtitleタグに挿入する際に正しくHTMLエスケープを行っていませんでした。これにより、保存型クロスサイトスクリプティング（XSS）攻撃が可能となり、攻撃者は共有ページリンクを開いた任意のユーザーのコンテキストで任意のJavaScriptを実行できます。この脆弱性はバージョン0.25.0で修正されています。

HedgeDocはオープンソースのリアルタイムコラボレーティブなマークダウンノートアプリケーションです。バージョン1.10.6以前では、/uploads/エンドポイント以下で提供されるファイルに厳格なセキュリティポリシーが適用されていませんでした。その結果、Content-Security-Policyが過度に緩くなり、SVGファイルを使用して悪意のあるインタラクティブなウェブコンテンツ（偽のログインフォームなど）をホストできる可能性が生じていました。この脆弱性はバージョン1.10.6で修正されました。

IndicoはFlaskのマルチバックエンド認証システムであるFlask-Multipassを使用したイベント管理システムです。バージョン3.3.10より前のバージョンには、特定のファイルタイプを資料としてアップロードする際にクロスサイトスクリプティングの脆弱性が存在しました。ユーザーは修正パッチを受け取るためにバージョン3.3.10にアップグレードする必要があります。修正を適用するにはアップデートだけで十分ですが、Indicoがデフォルトでファイルダウンロードに適用する恩恵を受けるために厳格なコンテンツセキュリティポリシー（CSP）を適用する場合、Indicoの`STATIC_FILE_METHOD`が`xaccelredirect`に設定されているnginxを使用しているなら、ウェブサーバーの設定を更新してください。詳細についてはGitHubのセキュリティアドバイザリまたはIndicoのセットアップドキュメントを参照してください。いくつかの回避策も利用可能です。資料ダウンロードエンドポイントに厳格なCSPを適用するためにウェブサーバーの設定を使用するか、信頼できるユーザーのみがIndico上でコンテンツ（通常スピーカーも資料アップロードを行える権限を含む）を作成できるように制限してください。

新しいAPIは大規模言語モデル（LLM）ゲートウェイおよび人工知能（AI）資産管理システムです。バージョン0.10.8-alpha.9以前には、コンポーネント`MarkdownRenderer.jsx`に潜在的に安全でない操作が存在し、モデルが`script`タグを含むアイテムを出力した場合にクロスサイトスクリプティング（XSS）が発生する可能性がありました。この問題はバージョン0.10.8-alpha.9で修正されました。

changedetection.ioは無料のオープンソースのウェブページ変更検出ツールです。バージョン0.54.1より前のバージョンでは、RSSのシングルウォッチエンドポイントがUUIDパスパラメータをHTMLエスケープせずにHTTPレスポンスボディに直接反映していました。Flaskはプレーンな文字列レスポンスに対してデフォルトでtext/htmlを返すため、ブラウザが注入されたJavaScriptを解析して実行してしまいます。この問題はバージョン0.54.1で修正されています。

Bluditバージョン3.16.2には、投稿コンテンツ機能に格納型クロスサイトスクリプティング（XSS）の脆弱性があります。アプリケーションはクライアント側でコンテンツ入力のサニタイズを行いますが、サーバー側では同等のサニタイズを強制していません。認証済みユーザーは投稿のコンテンツフィールドに任意のJavaScriptを注入でき、その内容は保存され、適切な出力エンコードなしに他のユーザーにレンダリングされます。表示されると、注入されたスクリプトは被害者のブラウザのコンテキストで実行され、セッションハイジャックや資格情報の窃取、コンテンツの改ざん、またはユーザー権限内でのその他の操作を可能にします。

RustFSはRustで構築された分散オブジェクトストレージシステムです。バージョン1.0.0-alpha.83以前のRustFSコンソールには格納型クロスサイトスクリプティング（XSS）脆弱性が存在し、攻撃者が管理コンソールのコンテキストで任意のJavaScriptを実行できました。PDFプレビューのロジックを回避することで、攻撃者は`localStorage`から管理者の認証情報を盗み出し、完全なアカウント乗っ取りやシステムの侵害を引き起こす可能性があります。バージョン1.0.0-alpha.83でこの問題は修正されました。

Fiverr Clone Script 1.2.2にはクロスサイトスクリプティングの脆弱性があり、認証されていない攻撃者がkeywordパラメータを操作して悪意のあるスクリプトを注入できます。攻撃者はsearch-results.phpのkeywordパラメータにスクリプトタグを含むURLを作成し、ユーザーのブラウザで任意のJavaScriptを実行できます。

サーバーのAPIエンドポイント/report/internet/urlsは、受信したデータを適切なエンコーディングやフィルタリングを行わずにHTMLレスポンスに反映します。これにより、被害者が攻撃者の用意したURLを開くと、攻撃者は被害者のブラウザ上で任意のJavaScriptを実行できる可能性があります。

Visual Studio Code Extensions Live Server v5.7.9における問題により、攻撃者が細工されたHTMLページを通じてユーザーとやり取りすることで、ファイルを外部に漏洩させることが可能です。

listmonkはスタンドアロンのセルフホスト型ニュースレターおよびメーリングリスト管理ソフトウェアです。バージョン6.0.0以前では、権限の低いユーザーがキャンペーン管理権限を持つ場合、キャンペーンやテンプレートに悪意のあるJavaScriptを注入できました。権限の高いユーザー（スーパ管理者）がこのコンテンツを閲覧またはプレビューすると、そのブラウザコンテキスト内でXSS（クロスサイトスクリプティング）が実行され、攻撃者はバックドア管理者アカウントの作成などの権限ある操作を行えました。この攻撃は公開アーカイブ機能を通じて悪用される可能性があり、被害者はリンクを訪問するだけで（プレビュークリックは不要で）攻撃が成立します。バージョン6.0.0でこの問題は修正されました。

Binardat 10G08-0800GSMネットワークスイッチのファームウェアバージョンV300SP10260209およびそれ以前のバージョンには、ウェブインターフェースでユーザー入力のサニタイズが不十分な問題があり、攻撃者は認証済みユーザーのコンテキストで任意のJavaScriptを注入および実行できる可能性があります。

SPIPのバージョン4.3.6より前、4.2.17より前、および4.1.20より前のバージョンにおいて、プライベートエリアでクロスサイトスクリプティング（XSS）が発生します。'transmettre' APIによって表示されるエラーメッセージの内容が適切にサニタイズされておらず、攻撃者が悪意のあるスクリプトを注入することが可能です。この脆弱性はSPIPのセキュリティスクリーンによって緩和されています。

SPIP 4.4.8より前のバージョンでは、プライベートエリアにおいて悪意のあるiframeタグを介したクロスサイトスクリプティング（XSS）が可能です。このアプリケーションはバックオフィス内のiframeコンテンツを適切にサンドボックス化またはエスケープしていないため、攻撃者が悪意のあるスクリプトを注入および実行できます。修正ではプライベートエリアのiframeタグにsandbox属性が追加されました。この脆弱性はSPIPのセキュリティスクリーンで緩和されません。

SPIP 4.4.8以前のバージョンには、特定のエッジケースの使用パターンで発生するパブリックエリアにおける保存型クロスサイトスクリプティング（XSS）脆弱性があります。echapper_html_suspect()関数はユーザー制御下のコンテンツを十分にサニタイズしておらず、認証済みでコンテンツ編集権限を持つユーザー（例：著者レベル以上の役割）が悪意のあるスクリプトを注入できる可能性があります。注入されたペイロードはフレームワーク内の複数のページにわたってレンダリングされ、他のユーザー（管理者を含む）のブラウザコンテキストで実行される可能性があります。攻撃が成功すると、攻撃者は被害ユーザーのセキュリティコンテキストで動作を実行でき、不正なアプリケーション状態の変更も引き起こします。この脆弱性はSPIPセキュリティスクリーンによって緩和されません。

SPIP 4.4.9より前のバージョンには、プライベートエリアの連携サイトを介してストアドクロスサイトスクリプティング（XSS）が可能な脆弱性があります。プライベート連携サイトのページにおける#URL_SYNDICの出力が適切にサニタイズされていないため、悪意のある連携URLを設定した攻撃者が、他の管理者が連携サイトの詳細を閲覧した際に永続的なスクリプトを実行させることができます。

SPIP 4.4.9より前のバージョンでは、プライベートエリアにおいてクロスサイトスクリプティング（XSS）が可能でした。これは、SPIP 4.4.8の不完全な修正を補完するものです。echappe_anti_xss()関数が入力、フォーム、ボタン、およびアンカー（a）HTMLタグに体系的に適用されておらず、攻撃者がこれらの要素を通じて悪意のあるスクリプトを注入可能でした。この脆弱性はSPIPのセキュリティスクリーンによって軽減されませんでした。

html5_snmp 1.11には、add_router_operation.phpの「Remark」パラメータを通じて悪意のあるスクリプトを注入できる永続的なクロスサイトスクリプティング脆弱性があります。攻撃者はRemarkフィールドにスクリプトペイロードを含むPOSTリクエストを作成し、ページが読み込まれた際に被害者のブラウザで任意のJavaScriptを実行させることが可能です。

phpMoAdmin 1.1.5には、認証されていない攻撃者がnewdbパラメータを操作することで悪意のあるスクリプトを注入できる反射型クロスサイトスクリプティングの脆弱性があります。攻撃者はmoadmin.phpのnewdbパラメータにJavaScriptペイロードを含むURLを作成し、ユーザーがその悪意のあるリンクを訪れた際にブラウザで任意のコードを実行させることが可能です。

phpMoAdmin 1.1.5には、認証されていない攻撃者がcollectionパラメータを操作することで悪意のあるスクリプトを注入できる、ストアドクロスサイトスクリプティングの脆弱性が含まれています。攻撃者は、コレクション作成時にcollectionパラメータにスクリプトペイロードを含むGETリクエストをmoadmin.phpに送信し、ユーザーのブラウザで任意のJavaScriptを実行できます。

OrcaStatLLM ResearcherはLLMベースの研究論文生成ツールです。OrcaStatLLM-Researcherのセッションページのログメッセージにおいて、保存型クロスサイトスクリプティング（XSS）脆弱性が発見されました。この脆弱性により、攻撃者は悪意のある研究トピックを入力することで被害者のブラウザ内で任意のJavaScriptコードを注入および実行できます。

OrientDB 3.0.17には、認証された攻撃者がnameパラメータにスクリプトペイロードを含むユーザーを作成することで悪意のあるスクリプトを注入できる格納型クロスサイトスクリプティングの脆弱性があります。攻撃者は、nameフィールドにJavaScriptコードを含むPOSTリクエストをdocumentエンドポイントに送信し、ユーザーがアプリケーションを閲覧する際に任意のスクリプトを実行できます。

OrientDB 3.0.17にはリフレクテッド型クロスサイトスクリプティングの脆弱性が存在し、攻撃者が細工されたJSONペイロードをドキュメントエンドポイントに送信することで悪意のあるスクリプトを注入できます。攻撃者はnameパラメータにスクリプトタグを含むPOSTリクエストを/document/demodb/-1:-1に送信し、ユーザーのブラウザで任意のJavaScriptを実行することが可能です。

Mattermost Confluenceプラグインのバージョン1.7.0未満には、HTMLテンプレートのレンダリング時にユーザー制御の表示名が適切にエスケープされない脆弱性があります。このため、悪意のある表示名を持つ認証済みのConfluenceユーザーが特別に細工したOAuth2接続リンクを送信すると、被害者のブラウザ上で任意のJavaScriptが実行される可能性があります。このリンクが訪問されると、攻撃者の表示名が適切にサニタイズされることなくレンダリングされます。MattermostアドバイザリIDはMMSA-2025-00557です。

HCL Digital Experienceには、管理者ユーザーインターフェースにストアドクロスサイトスクリプティング（XSS）の脆弱性があります。この脆弱性を悪用するには、昇格された権限が必要です。

SPIP 4.2.15より前のバージョンでは、HTMLのcodeタグ内に細工されたコンテンツを含めることでクロスサイトスクリプティング（XSS）が可能です。アプリケーションはcodeタグ内のJavaScriptを適切に検証しないため、攻撃者は被害者のブラウザで悪意のあるスクリプトを実行させることができます。

Windows上のXerox CentreWareにおいて、Webページ生成時に入力の適切な無害化が行われていないため（XSSまたは「クロスサイトスクリプティング」）、保存型XSSの脆弱性が発生します。この問題はCentreWareのバージョン7.0.6までに影響します。Xerox.comで入手可能なソフトウェアを使用して、Xerox CentreWare Webをv7.2.2.25にアップグレードすることを推奨します。

HtmlSanitizerは、XSS攻撃につながる可能性のある構造からHTMLフラグメントやドキュメントをクリーンアップするための.NETライブラリです。バージョン9.0.892および9.1.893-betaより前のバージョンでは、templateタグが許可されている場合、その内容がサニタイズされませんでした。templateタグは通常、その内容をレンダリングしない特殊なタグですが、shadowrootmode属性がopenまたはclosedに設定されている場合は例外です。この問題はバージョン9.0.892および9.1.893-betaで修正されました。

LuteはGoおよびJavaScriptをサポートする構造化されたMarkdownエンジンです。Lute 1.7.6以前（以前SiYuanで使用されていたバージョン）には、Markdownレンダリングエンジンに格納型クロスサイトスクリプティング（XSS）脆弱性が存在します。攻撃者はMarkdownテキストやノートに悪意のあるJavaScriptを注入できます。別のユーザーがレンダリングされたコンテンツをクリックすると、悪意のあるスクリプトがそのユーザーのセッションのコンテキストで実行されます。

GetSimple CMSはコンテンツ管理システムです。GetSimple CMSのすべてのバージョンには、SVGファイルのアップロードを通じてXSSの脆弱性があります。認証されたユーザーは管理者のアップロード機能を介してSVGファイルをアップロードできますが、適切にサニタイズや制限が行われていないため、攻撃者が悪意のあるJavaScriptを埋め込むことが可能です。アップロードされたSVGファイルにアクセスすると、そのスクリプトがブラウザで実行されます。この問題は公開時点で修正されていません。