脆弱性情報（JVN）検索・一覧

Group-Officeはエンタープライズ向けの顧客関係管理およびグループウェアツールです。バージョン6.8.148以下および25.0.1から25.0.79までの間のバージョンでは、アプリケーションがサニタイズされていないファイル名をデータベースに保存しており、これによりStored Cross-Site Scripting（XSS）が発生する可能性があります。Group-Officeアプリケーション内でこれらの特別に細工されたファイル名とやり取りを行うユーザーが影響を受けます。影響範囲はファイル閲覧のコンテキストに限定されますが、ユーザーセッションに干渉したり、ブラウザ内で意図しない操作を行うために悪用される可能性があります。この問題はバージョン6.8.149および25.0.80で修正されています。

Craft CommerceはCraft CMS向けのeコマースプラットフォームです。バージョン4.0.0-RC1から4.10.0および5.0.0から5.5.1において、Craft Commerceに保存型XSS脆弱性が存在し、攻撃者が管理者のブラウザで悪意のあるJavaScriptを実行できる可能性があります。これは、管理パネルの表示前にストア管理セクションの配送ゾーン（名前および説明）フィールドが適切にサニタイズされていなかったことが原因です。この問題はバージョン4.10.1および5.5.2で修正されています。

Blesta 3.xから5.xの5.13.3より前のバージョンでは、入力検証を正しく処理できませんでした（別名：CORE-5665）。

JetBrains PyCharmの2025.3.2以前のバージョンでは、JupyterビューアページにおいてDOMベースのXSSが可能でした。

BSPアプリケーションは、認証されていないユーザーが十分に検証されていないユーザー制御のURLパラメータを操作できる状態です。これにより、攻撃者が制御するウェブサイトへの未検証のリダイレクトが発生し、機密性および完全性に低い影響を与える可能性がありますが、アプリケーションの可用性には影響を与えません。

SAP BusinessObjects Enterprise はユーザーが制御する入力を十分にエンコードしておらず、永続型クロスサイトスクリプティング（XSS）脆弱性が発生します。これにより、管理者ユーザーが悪意のある JavaScript をウェブサイトに注入でき、ユーザーが改ざんされたページを訪れた際に注入されたスクリプトが実行されます。この脆弱性は、データの機密性および完全性に与える影響は低く、アプリケーションの利用可能性を損なうことはありません。

OpenSourcePOS v3.4.1のCustomers機能にはクロスサイトスクリプティング（XSS）の脆弱性が存在し、攻撃者は電話番号パラメータに細工されたペイロードを注入することで任意のウェブスクリプトやHTMLを実行できる可能性があります。

OpenSourcePOS v3.4.1 の Generate Item Barcode 機能におけるクロスサイトスクリプティング（XSS）脆弱性により、攻撃者が加工されたペイロードを Item Category パラメータに注入して任意のウェブスクリプトや HTML を実行できる可能性があります。

OpenSourcePOS v3.4.1のアイテム管理および販売請求書機能にはクロスサイトスクリプティング（XSS）脆弱性が存在し、攻撃者が細工されたペイロードを注入して任意のウェブスクリプトやHTMLを実行できます。

DocmostはオープンソースのコラボレーティブWikiおよびドキュメントソフトウェアです。バージョン0.3.0から0.23.2までの間に、Mermaidコードブロックのレンダリングに保存型クロスサイトスクリプティング（XSS）の脆弱性が存在しました。フロントエンドはmermaid.render()を使用して攻撃者が制御するMermaidダイアグラムをレンダリングし、返されたSVG/HTMLをsanitizeせずにdangerouslySetInnerHTMLを通じてDOMに挿入します。Mermaidの各ダイアグラムの%%{init}%%ディレクティブはsecurityLevelを上書きし、htmlLabelsを有効化することが可能であり、任意のHTMLやJavaScriptを任意の閲覧者に対して実行させることができます。この問題はバージョン0.24.0で修正されました。

Argo Workflowsは、Kubernetes上で並列ジョブをオーケストレーションするためのオープンソースのコンテナネイティブワークフローエンジンです。バージョン3.6.17および3.7.8より前のバージョンでは、アーティファクトディレクトリの一覧表示に格納されたXSSの脆弱性により、任意のワークフロー作成者がArgo Serverのオリジン下で他のユーザーのブラウザ内において任意のJavaScriptを実行でき、被害者の権限でAPI操作を行うことが可能でした。バージョン3.6.17および3.7.8でこの問題は修正されています。

Shaarliは個人用のブックマークサービスです。バージョン0.16.0以前では、`"`で始まる悪意のあるタグを作成すると、スタートページの`input`タグが早期に終了し、攻撃者が任意のHTMLを追加できるため、XSS攻撃が可能でした。この問題はバージョン0.16.0で修正されました。

MobSFはモバイルアプリケーションのセキュリティテストツールです。バージョン4.4.5以前のMobSFのAndroidマニフェスト分析にはStored Cross-site Scripting（XSS）の脆弱性が存在しており、攻撃者は悪意のあるAPKをアップロードすることで被害者のブラウザセッションのコンテキスト内で任意のJavaScriptを実行できます。`data android:scheme="android_secret_code"`要素の`android:host`属性がHTMLレポートで無加工でレンダリングされるため、セッションをハイジャックしたりアカウントを乗っ取ったりすることが可能です。この問題はバージョン4.4.5で修正されました。

ChurchCRMはオープンソースの教会管理システムです。バージョン6.7.2より前のバージョンには、Church Calendarのイベント作成機能にStored Cross-Site Scripting（XSS）脆弱性が存在していました。低権限のユーザーが説明フィールドにXSSペイロードを作成することができます。このペイロードはデータベースに保存され、他のユーザー（管理者を含む）がそのイベントを閲覧するとペイロードが実行され、アカウントの乗っ取りにつながる可能性があります。バージョン6.7.2でこの脆弱性は修正されました。

Frappeはフルスタックのウェブアプリケーションフレームワークです。14.99.14および15.94.0より前のバージョンには、攻撃者がFrappeサイトの悪意のあるサインアップ用URLを作成できる脆弱性がありました。これにより、ユーザーがサインアップする際にオープンリダイレクトや、作成されたペイロードによっては反射型XSSが発生する可能性がありました。この脆弱性は14.99.14および15.94.0で修正されています。

Drupal Mini siteの権限における安全でないアクションの定義により、ストアドXSSの脆弱性が存在します。この問題はMini siteのバージョン0.0.0から3.0.2未満に影響を与えます。

ウェブページ生成時の入力の不適切な無害化（XSSまたは「クロスサイトスクリプティング」）の脆弱性がWikimedia FoundationのMediawiki - Wikibase拡張機能に存在し、クロスサイトスクリプティング（XSS）を引き起こす可能性があります。この問題はMediawiki - Wikibase拡張機能のバージョン1.45、1.44、1.43、および1.39に影響を与えます。

Wikimedia FoundationのMediawikiのGrowthExperiments拡張機能において、ウェブページ生成時の入力が適切に無害化されない（XSS、クロスサイトスクリプティングの）脆弱性が存在し、クロスサイトスクリプティング（XSS）が発生します。この問題はMediawikiのGrowthExperiments拡張機能のバージョン1.39、1.43、1.44、1.45に影響を及ぼします。

ChatterMateはノーコードのAIチャットボットエージェントフレームワークです。バージョン1.0.8以下では、チャット入力として悪意のあるHTMLやJavaScriptペイロードが受け入れられ、実行されます。具体的には、javascript:URIを含むiframeペイロードがブラウザコンテキストで処理され、実行される可能性があります。これによりlocalStorageのトークンやクッキーなどの機密クライアントサイドデータにアクセスでき、クライアントサイドに対するインジェクション攻撃が発生します。この問題はバージョン1.0.9で修正されています。

PHP Melody バージョン 3.0 には、categories、import、および user import ファイルに複数の非永続的クロスサイトスクリプティング（XSS）脆弱性が含まれています。攻撃者は未検証のパラメータを介して悪意のあるスクリプトを注入し、クライアント側で攻撃を実行し、ユーザーのセッションを乗っ取る可能性があります。

GitLabは、GitLab CE/EEのバージョン13.9から18.6.6未満、18.7から18.7.4未満、および18.8から18.8.4未満のすべてのバージョンに影響を与える問題を修正しました。この問題により、特定の条件下で認証済みユーザーがテストケースのタイトルにHTMLインジェクションを行い、被害者アカウントに無許可のメールアドレスを追加できる可能性がありました。

Jirafeauは通常、SVGやHTML文書などがクロスサイトスクリプティングの原因となる可能性があるため、テキストファイルのブラウザプレビューを防止しています。これはファイルのMIMEタイプを保存し、imageで始まるMIMEタイプ（ただしimage/svg+xmlは例外）や動画、音声のみをブラウザプレビューで許可することで実現されていました。しかし、imageのような無効なMIMEタイプを含む操作されたHTTPリクエストを送信することで、このチェックを回避できました。プレビュー時、ブラウザはMIMEタイプを自動的に検出し、SVGを検出するとJavaScriptコードを実行してしまう恐れがあります。これを防ぐために、HTTPヘッダーX-Content-Type-Options: nosniffを送信してMIMEスニッフィングを無効化しています。

Worklenz バージョン 2.1.5 には、プロジェクト更新機能に保存型クロスサイトスクリプティング（XSS）脆弱性が含まれています。攻撃者は更新テキストフィールドに悪意のあるペイロードを送信でき、そのペイロードは適切にサニタイズ処理されることなく報告ビューでレンダリングされます。この脆弱なフィールドを含むページを被害者が閲覧すると、悪意のあるJavaScriptがブラウザ上で実行される可能性があります。

ALGO 8180 IPオーディオアラートWeb UIに永続的なクロスサイトスクリプティング脆弱性があります。この脆弱性により、リモートの攻撃者が対象のALGO 8180 IPオーディオアラートデバイスのインストール環境で、ターゲットユーザーの権限を使ってウェブリクエストを実行することができます。認証はこの脆弱性を悪用するために必要ありません。具体的な欠陥はsyslog表示機能に存在します。この問題はユーザーが提供したデータを適切に検証していないことに起因し、任意のスクリプトを注入される可能性があります。攻撃者はこの脆弱性を利用してターゲットユーザーのコンテキストでアプリケーションと対話できます。この脆弱性はZDI-CAN-28298として報告されています。

OpenCTI 3.3.1は、/graphqlエンドポイントを介したリフレクト型クロスサイトスクリプティング（XSS）攻撃に対して脆弱です。攻撃者は、クエリ文字列に悪意のあるペイロードを含む細工されたGETリクエストを送信することで、任意のJavaScriptコードを注入し、被害者のブラウザでJavaScriptを実行させる可能性があります。例えば、/graphql?'"\/style\/scRiptscRiptalert('Raif_Berkay')\/scRiptへのリクエストはアラートをトリガーします。この脆弱性はRaif Berkay Dincelによって発見され、Linux MintおよびWindows 10上で確認されています。

GitLabは、17.1から18.6.6未満、18.7から18.7.4未満、および18.8から18.8.4未満のすべてのバージョンに影響を及ぼすGitLab CE/EEの問題を修正しました。この問題は、特定の条件下で認証されたユーザーが悪意のあるコンテンツを脆弱性コードフローに挿入することで、他のユーザーを装って不正な操作を実行できる可能性がありました。

pH7SoftwareのpH7-Social-Dating-CMSバージョン17.9.1のメッセージシステムには、保存型クロスサイトスクリプティング（XSS）脆弱性が存在します。あるユーザーによって送信されたサニタイズされていないメッセージ内容がサーバーに保存され、その後別のユーザーの受信トレイビューに適切なコンテキストに応じたエンコードなしで表示されます。その結果、受信トレイのメッセージが閲覧される際に、攻撃者が制御するコンテンツが受信者のブラウザコンテキスト内で実行されてしまいます。

Contact Form 7 reCAPTCHA WordPressプラグインのバージョン1.2.0までには、$_SERVER['REQUEST_URI']パラメータを属性に出力する前にエスケープ処理を行っていなかったため、古いウェブブラウザで反射型クロスサイトスクリプティング（XSS）が発生する可能性があります。

Flowringによって開発されたAgentFlowにはリフレクティッドクロスサイトスクリプティングの脆弱性が存在し、認証されていないリモート攻撃者がフィッシング攻撃を通じてユーザーのブラウザ上で任意のJavaScriptコードを実行できる可能性があります。

Flowringが開発したAgentFlowには、認証されたリモート攻撃者が永続的なJavaScriptコードを注入できるストアドクロスサイトスクリプティングの脆弱性が存在し、そのコードはページ読み込み時にユーザーのブラウザで実行されます。

DifyはオープンソースのLLMアプリ開発プラットフォームです。バージョン1.13.0以前では、echartsを使用した際にウェブアプリケーションのチャットフロントエンドにクロスサイトスクリプティングの脆弱性が存在していました。ユーザーまたはLLMの入力に特定のJavaScriptペイロードを含むechartsが含まれている場合、それが実行されてしまいます。この脆弱性はバージョン1.13.0で修正されました。

Joomla! Projectが提供するJoomla! CMSには、次の脆弱性が存在します。 ・クロスサイトスクリプティング（CWE-79）- CVE-2025-63082 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。 報告者：スズキ株式会社 杉山 聖 氏

PHP Melody 3.0には動画編集機能に恒久的なクロスサイトスクリプティングの脆弱性が存在し、権限のあるユーザーが悪意のあるスクリプトを注入できます。攻撃者はWYSIWYGエディターを悪用することで永続的なスクリプトを実行し、セッションハイジャックやアプリケーション操作を引き起こす可能性があります。

PHP Melody バージョン 3.0 には、edit-video.php の送信パラメータに永続的なクロスサイトスクリプティングの脆弱性が含まれており、リモートの攻撃者が悪意のあるスクリプトコードを注入できます。攻撃者はこの脆弱性を悪用して任意の JavaScript を実行できるため、セッションハイジャックや永続的なフィッシング、そしてアプリケーションモジュールの操作を引き起こす可能性があります。

Simple CMS 2.1にはユーザー入力パラメータに永続的なクロスサイトスクリプティングの脆弱性があり、リモートの攻撃者が悪意のあるスクリプトコードを注入できます。攻撃者はnewUserおよびeditUserモジュールを悪用し、ユーザーリストプレビュー上で実行される永続的なスクリプトを注入します。これによりセッションハイジャックやアプリケーションの不正操作が発生する可能性があります。

Simple CMS 2.1のpreview.phpファイルのidパラメータには非永続的なクロスサイトスクリプティングの脆弱性があります。攻撃者はGETリクエストを通じて悪意のあるスクリプトコードを注入し、任意のスクリプトを実行したり、ユーザーセッションを乗っ取ったり、フィッシング攻撃を行ったりすることができます。

NetBoxは、オープンソースのインフラストラクチャリソースモデリングおよびIPアドレス管理プラットフォームです。バージョン2.11.0から3.7.xにかけて、ProtectedErrorの処理ロジックに反射型クロスサイトスクリプティング（XSS）脆弱性が存在しています。この脆弱性は、オブジェクト名が適切にエスケープされずにHTMLエラーメッセージに含まれるために発生します。その結果、削除操作が保護された関係のために失敗した場合に、ユーザーが制御するコンテンツがウェブインターフェース上に表示され、特権ユーザーのコンテキストで任意のクライアント側コードを実行可能となります。

PPC（Belden）ONT 2K05Xルーターのファームウェアv1.1.9_206Lで動作するウェブ管理インターフェースに、保存型クロスサイトスクリプティング（XSS）の脆弱性が存在します。Common Gateway Interface（CGI）コンポーネントがユーザーから提供された入力を適切に処理しないため、リモートの認証されていない攻撃者が任意のJavaScriptを注入可能です。そのスクリプトは永続的に保存され、影響を受けるインターフェースにアクセスした際に実行されます。

podinfoのバージョン6.9.0までには任意のファイルアップロードの脆弱性が存在しており、認証されていない攻撃者が細工されたPOSTリクエストを/storeエンドポイントに送信することで任意のファイルをアップロードできます。このアプリケーションは制限のないコンテンツセキュリティポリシー（CSP）と十分なコンテンツタイプの検証を行わずにアップロードされたコンテンツをレンダリングするため、保存型クロスサイトスクリプティング（XSS）が発生します。

Drupal AT Internet SmartTag におけるウェブページ生成中の入力に不適切な無害化処理があるため、クロスサイトスクリプティング（XSS）の脆弱性が発生します。この問題は、バージョン 0.0.0 から 1.0.1 より前の AT Internet SmartTag に影響を及ぼします。