脆弱性情報（JVN）検索・一覧

EnGenius EWS356-Fitデバイスのバージョン1.1.30までにおいて、リモートの攻撃者がWi-FiのSSIDパラメータを介して保存型XSS攻撃を実行することが可能です。脆弱なフィールドに埋め込まれたJavaScriptは、ユーザーがSSIDフィールドに対応する編集ボタンをクリックすると実行されます。

Centreon Infra Monitoring（DSM拡張設定モジュール）におけるウェブページ生成時の入力の不適切な無効化（XSS、クロスサイトスクリプティング）により、特権を持つユーザーに対してStored XSSの脆弱性が発生します。この問題はInfra Monitoringのバージョン25.10.0から25.10.1未満、24.10.0から24.10.4未満、24.04.0から24.04.8未満に影響を与えます。

SparkyFitness v0.15.8.2 は、ユーザー入力および LLM 出力を通じてクロスサイトスクリプティング（XSS）攻撃を受ける脆弱性があります。

AltumCodeの66biolinks v.61.0.1にはクロスサイトスクリプティングの脆弱性が存在し、攻撃者は細工されたファビコンファイルを通じて任意のコードを実行できます。

YouPHPTube = 7.8には、サインアップページのredirectUriパラメータを通じて攻撃者が悪意のあるスクリプトを注入できるクロスサイトスクリプティングの脆弱性があります。攻撃者は特殊なサインアップURLをスクリプトタグを組み込んで作成し、被害者がサインアップページにアクセスした際に任意のJavaScriptをブラウザで実行できます。

Repute Info SystemsのARFormsにおいて、Webページ生成時に入力の不適切な中和（クロスサイトスクリプティング）によりリフレクト型XSSが発生する脆弱性があります。この問題は、ARFormsのバージョンn/aから6.4までに影響を及ぼします。

averta Master SliderにおけるWebページ生成時の入力の不適切な無害化（クロスサイトスクリプティング）の脆弱性により、Stored XSS攻撃が可能となります。この問題はMaster Sliderのバージョンn/aから3.11.0までに影響を及ぼします。

JoomSky JS Job Managerにおいて、ウェブページ生成時の入力が不適切に無害化されるクロスサイトスクリプティング（XSS）の脆弱性により、ストアドXSSが発生します。この問題はJS Job Managerのバージョンn/aから2.0.2までに影響を及ぼします。

XLPlugins NextMove Liteのwoo-thank-you-page-nextmove-liteには、ウェブページ生成中の入力の不適切な無害化（クロスサイトスクリプティング）により持続型XSSが発生する脆弱性があります。この問題はNextMove Liteのバージョンn/aから2.21.0以下に影響を及ぼします。

ThemeGoods Grand Restaurantにおけるウェブページ生成時の入力の不適切な無害化により、クロスサイトスクリプティングの脆弱性が存在します。この問題はGrand Restaurantのバージョンn/aから7.0.9未満に影響します。

Cyber Cafe Management System v1.0には、格納型クロスサイトスクリプティング（XSS）脆弱性があります。認証された攻撃者は、add-users.phpエンドポイントを通じてusernameパラメータに任意のJavaScriptコードを注入できます。注入されたペイロードは保存され、影響を受けたページにアクセスした際に被害者のブラウザで実行されます。

Phpgurukul Cyber Cafe Management System v1.0 のユーザー管理モジュールに保存型クロスサイトスクリプティング（XSS）の脆弱性が存在します。本アプリケーションは、add-users.php エンドポイントの uadd パラメーターを介して送信されるユーザー提供の入力を適切にサニタイズまたはエンコードしていません。認証された攻撃者は任意のJavaScriptコードを注入可能であり、そのコードはデータベースに永続的に保存されます。悪意のあるペイロードは、特権ユーザーが view-allusers.php ページの「表示」ボタンをクリックしたときに発動します。

GitLabは、GitLab CE/EEのバージョン18.2.2から18.5.5未満、18.6から18.6.3未満、および18.7から18.7.1未満のすべてのバージョンに影響する問題を修正しました。この問題により、認証済みユーザーがGitLab Flavored Markdownを悪用してストアドクロスサイトスクリプティングを実行できる可能性がありました。

Kentico Xperience 13 はフォームコンポーネントを通じた永続的なクロスサイトスクリプティング攻撃に対して脆弱であり、これにより攻撃者が被害者ユーザーのセッションを乗っ取り、そのユーザーの権限で操作を行うことが可能です。

URLパラメータの不適切な処理により、攻撃者がログイン後にユーザーのブラウザでコードを実行できる可能性があります。これによって、機密データが抽出される可能性があります。

管理者権限を持つ攻撃者はログインページに悪意のあるコンテンツを注入する可能性があり、その結果クロスサイトスクリプティング（XSS）攻撃が発生して機密データが抽出される恐れがあります。

Repute InfoSystemsのARForms Form Builderにおいて、ウェブページ生成時の入力が適切に無害化されない（XSSまたは「クロスサイトスクリプティング」）脆弱性が存在し、リフレクト型XSSが発生します。この問題はARForms Form Builderのバージョンn/aから1.6.7までに影響を及ぼします。

Qode InteractiveのQi Blocksにおけるウェブページ生成時の入力の不適切な中和（XSSまたはクロスサイトスクリプティング）脆弱性により、永続型XSSが発生します。この問題はQi Blocksのバージョンn/aから1.3までに影響します。

Averta Depicter Sliderにおけるウェブページ生成時の入力の不適切な無害化（XSSまたは「クロスサイトスクリプティング」）の脆弱性によって、永続的なXSSが可能となります。この問題は、Depicter Sliderのバージョンn/aから3.1.2までに影響を与えます。

WPDeveloper BetterDocsにおけるウェブページ生成時の入力の不適切な無害化（XSSまたは「クロスサイトスクリプティング」）の脆弱性により、Stored XSSが発生します。この問題はBetterDocsのn/aからバージョン3.5.8までのバージョンに影響を与えます。

Averta Depicter Sliderにおけるウェブページ生成時の入力の不適切な無害化（XSSまたは「クロスサイトスクリプティング」）の脆弱性により、永続的なXSS攻撃が可能です。この問題は、Depicter Sliderのバージョンn/aから3.2.2までに影響を及ぼします。

WPDeveloper Typing Textにおけるウェブページ生成中の入力の不適切な正規化により、クロスサイトスクリプティング（XSS）の脆弱性が存在し、蓄積型XSSが発生します。この脆弱性は、バージョンn/aから1.2.7までのTyping Textに影響を及ぼします。

WPDeveloperのNotificationXにおいて、ウェブページ生成時の入力が適切に無害化されていないことにより、Stored XSS（クロスサイトスクリプティング）脆弱性が発生します。この問題はNotificationXのバージョンn/aから2.9.5までに影響を及ぼします。

Booking & Appointment - Repute Infosystems の BookingPress におけるウェブページ生成時の入力の不適切な無害化により、クロスサイトスクリプティング（XSS）の脆弱性が存在します。BookingPress は DOM ベースの XSS を許してしまいます。この問題は、BookingPress の n/a から 1.1.25 までのバージョンに影響を及ぼします。

攻撃者が制御するキーがhydratableに渡された場合、非同期ハイドレーションにおいてSSRのXSS脆弱性が存在します。キーはHTML安全なエスケープ処理なしにscriptブロック内に埋め込まれているため、/scriptタグがスクリプトを終了させ、任意のJavaScriptを注入できます。これによりユーザーのブラウザでリモートスクリプトの実行が可能になり、セッションの盗難やアカウント侵害のリスクが発生します。この問題はSvelteのバージョン5.46.0から5.46.3未満に影響を及ぼします。

Juniper Networks Junos SpaceのWebページ生成時における入力の不適切な無効化（クロスサイトスクリプティング）脆弱性により、攻撃者はデバイステンプレート定義ページにスクリプトタグを挿入できます。これにより、他のユーザーがそのページを訪問すると、攻撃者が対象の権限（管理者権限を含む）でコマンドを実行できる可能性があります。この問題は、Junos Spaceのバージョン24.1R4以前のすべてのバージョンに影響を及ぼします。

Juniper Networks Junos Spaceにおけるウェブページ生成時の入力の不適切な無害化（クロスサイトスクリプティング）の脆弱性により、攻撃者はダッシュボードの検索フィールドにスクリプトタグを注入できます。これを他のユーザーが閲覧すると、攻撃者は対象ユーザーの権限（管理者権限を含む）でコマンドを実行可能になります。この問題は、24.1R4より前のすべてのJuniper Networks Junos Spaceのバージョンに影響を与えます。

Juniper Networks Junos Spaceにおけるウェブページ生成時の入力の不適切な無害化（クロスサイトスクリプティング）脆弱性により、攻撃者はテンプレート定義ページにスクリプトタグを挿入することができます。それを他のユーザーが閲覧すると、攻撃者はターゲットの権限（管理者を含む）でコマンドを実行可能になります。この問題は、24.1R4以前のすべてのJunos Spaceのバージョンに影響を与えます。

Juniper Networks Junos Spaceにおいて、Webページ生成時の入力が不適切に無害化されるクロスサイトスクリプティング脆弱性が存在します。この脆弱性により、攻撃者はGlobal Searchにスクリプトタグを注入でき、別のユーザーがそのページを訪れた際に、攻撃者は対象者の権限（管理者権限を含む）でコマンドを実行できます。本問題は24.1R4より前のすべてのJunos Spaceのバージョンに影響を及ぼします。

Juniper Networks Junos Spaceにおけるウェブページ生成時の入力の不適切な無害化（クロスサイトスクリプティング）脆弱性により、攻撃者はPurging Policyページのフィールドにスクリプトタグを注入できます。このページを他のユーザーが訪問すると、攻撃者は対象ユーザーの権限（管理者権限を含む）でコマンドを実行できます。この問題は、24.1R4以前のすべてのJunos Spaceのバージョンに影響します。

Juniper Networks Junos Space におけるウェブページ生成時の入力の不適切な無害化（クロスサイトスクリプティング）脆弱性により、攻撃者は Model Devices の入力フィールドにスクリプトタグを注入できます。他のユーザーがそれを閲覧すると、攻撃者は管理者を含む対象の権限でコマンドを実行できます。この問題は Junos Space の 24.1R4 より前の全バージョンに影響を及ぼします。

Juniper Networks Junos SpaceにおけるWebページ生成時の入力の不適切な無害化（クロスサイトスクリプティング）脆弱性により、攻撃者は任意のデバイス検索フィールドにスクリプトタグを挿入できます。これにより、他のユーザーがその検索フィールドを訪れると、攻撃者は管理者を含む対象の権限でコマンドを実行できます。この問題はすべての24.1R4以前のJunos Spaceのバージョンに影響を与えます。

Juniper Networks Junos SpaceのWebページ生成時における入力の不適切な無害化によるクロスサイトスクリプティング（XSS）脆弱性により、攻撃者はGenerate Reportページにスクリプトタグを挿入できます。その結果、他のユーザーがそのページを訪れた際に、攻撃者は対象の権限（管理者権限を含む）でコマンドを実行可能になります。この問題は、すべてのJunos Spaceの24.1R4より前のバージョンに影響します。