脆弱性情報（JVN）検索・一覧

ShineLan-Xには、ローカル設定ウェブサーバーに保存されるクロスサイトスクリプティング（XSS）脆弱性があります。通信モジュールの設定センターにJavaScriptコードの断片を挿入することが可能であり、これにより攻撃者が正当なユーザーのブラウザのJavaScriptエンジンに悪意のあるコードを実行させる可能性があります。

ShineLan-Xには、Plant Nameフィールドに保存型クロスサイトスクリプティング（XSS）脆弱性が存在します。HTMLペイロードが投稿を介して植物管理ページに直接表示されます。これにより、攻撃者が正当なユーザーのブラウザのJavaScriptエンジンで悪意のあるコードを強制的に実行させる可能性があります。

catchsquare WP Social Widgetにおけるウェブページ生成時の入力の不適切な無害化（クロスサイトスクリプティング）脆弱性により、Stored XSSが発生します。この問題はWP Social Widgetのバージョンn/aから2.2.5までに影響を及ぼします。

catchsquare WP Social Widgetには、Webページ生成時の入力を適切に中和しない脆弱性（クロスサイトスクリプティング）が存在し、これによりStored XSSが発生します。この問題は、WP Social Widgetのバージョンn/aから2.2.6までに影響を及ぼします。

catchsquare WP Social Widget におけるウェブページ生成時の入力の不適切な無害化（クロスサイトスクリプティング）脆弱性により、ストアドXSSが発生します。この問題は WP Social Widget のバージョン n/a から 2.3 までに影響を与えます。

バージョン6.5.10以前のWindows版Zoom Workplaceにおけるクロスサイトスクリプティングの脆弱性により、認証されていないユーザーがネットワークアクセスを介してシステムの完全性を損なう可能性があります。

Orejimeはアクセシビリティに重点を置いたコンセントマネージャーです。バージョン2.3.2以前のOrejimeが扱うHTML要素において、データ属性内に`javascript:`コードを埋め込むことで悪意のあるコードが実行される可能性がありました。関連する目的に同意すると、Orejimeはデータ属性を無接頭辞の属性に変換します（例：`data-href`を`href`に変換します）、これによりコードが実行されてしまいます。通常、Orejimeが扱う要素は一般的にハードコードされているため、ほとんどの環境では影響がありません。この問題は、誰かがページ内にHTMLコードを注入できた場合にのみ発生します。この問題はバージョン2.3.2で修正されました。回避策として、実行可能なコードを含む可能性のある属性をサニタイズすることで、Orejimeの外側でも問題を解決できます。

Xylus Themes WordPress Importerにおいて、ウェブページ生成中に入力が適切に無害化されないことによるクロスサイトスクリプティング（XSS）の脆弱性が存在し、蓄積型XSS攻撃が可能となります。この問題はWordPress Importerのバージョンn/aから1.0.7までに影響します。

Xylus ThemesのWP Event Aggregatorにおいて、ウェブページ生成時の入力が適切に無害化されていないことにより（XSSまたはクロスサイトスクリプティングの脆弱性）、保存型XSSが発生します。この問題はWP Event Aggregatorのn/aからバージョン1.7.9までのバージョンに影響を与えます。

Cameleon CMS 2.7.4には、認証された管理者が投稿タイトルに悪意のあるスクリプトを注入できる永続的なクロスサイトスクリプティングの脆弱性があります。攻撃者は埋め込まれたSVGスクリプトを含む投稿を作成でき、他のユーザーが投稿タイトルにマウスオーバーした際にスクリプトが実行されます。その結果、セッションCookieを窃取したり任意のJavaScriptコードを実行したりすることが可能です。

Microweber 2.0.15には、認証された攻撃者がユーザープロフィールのフィールドに悪意のあるスクリプトを注入できるストアドクロスサイトスクリプティングの脆弱性があります。攻撃者は名（ファーストネーム）フィールドにスクリプトのペイロードを入力でき、他のユーザーがプロフィールを閲覧した際にこれが実行されて、セッションクッキーを盗まれたり、任意のJavaScriptが実行されたりする恐れがあります。

ENOVIA Product ManagerのRequirementsに影響を与える蓄積型クロスサイトスクリプティング（XSS）脆弱性が、リリース3DEXPERIENCE R2023xからリリース3DEXPERIENCE R2025xまで存在し、攻撃者がユーザーのブラウザセッションで任意のスクリプトコードを実行できるようにします。

リフレクテッド型クロスサイトスクリプティング（XSS）の脆弱性が、Release 3DEXPERIENCE R2022xからRelease 3DEXPERIENCE R2025xまでのENOVIA Collaborative Industry Innovatorに影響を及ぼし、攻撃者がユーザーのブラウザセッションで任意のスクリプトコードを実行できる可能性があります。

Pixeon WebLaudos 25.1 (01) のパスワード変更機能にはリフレクティッドクロスサイトスクリプティング（XSS）脆弱性が存在します。loginAlterarSenha.asp ファイルの sle_sSenha パラメータが影響を受けています。攻撃者は悪意のあるURLを作成し、被害者がそのURLを訪問すると、被害者のブラウザ内で任意のJavaScriptコードが脆弱なアプリケーションのセキュリティコンテキスト内で実行されます。この問題により、攻撃者はセッションクッキーを盗んだり、機密情報を漏洩させたり、ユーザーを代表して不正な操作を行ったり、フィッシング攻撃を実行したりする可能性があります。

Catch Themes Full frame におけるウェブページ生成時の入力の不適切な無害化により、ストアドXSS（クロスサイトスクリプティング）の脆弱性が発生します。この問題は Full frame のバージョン n/a から 2.7.2 までに影響を及ぼします。

Catch Themes の Catch Base におけるウェブページ生成時の入力の不適切な無害化（XSS またはクロスサイトスクリプティング）により、Stored XSS が可能になる脆弱性です。この問題は Catch Base のバージョン n/a から 3.4.6 までに影響します。

Catch Themes Essential WidgetsのEssential Widgetsにおけるウェブページ生成時の入力の不適切な無害化（クロスサイトスクリプティング）脆弱性により、ストアドXSSが発生します。この問題は、Essential Widgetsのバージョンn/aから2.2.2以下に影響を与えます。

SVX Portal 2.7A の Recivers.php における id パラメータを介した反射型クロスサイトスクリプティング（XSS）が発生する脆弱性です。

Theme HorseのWP Portfolioには、Webページ生成時の入力の不適切な中和（クロスサイトスクリプティング）による脆弱性が存在し、保存型XSSが許可されてしまいます。この問題は、WP Portfolioのバージョンn/aから2.4までに影響します。

Catch ThemesのCreateにおけるWebページ生成時の入力が適切に無害化されないこと（XSSまたは「クロスサイトスクリプティング」）により、保存型XSSが発生する恐れがあります。この問題は、Createのバージョンn/aから2.9.1までに影響します。

この脆弱性は、あるパラメータがページに出力される前に適切なサニタイズおよびエスケープ処理が行われていないため、リフレクテッド型クロスサイトスクリプティング（XSS）が発生する可能性があります。これにより、管理者などの高い権限を持つユーザーが悪用される危険性があります。

ThemeHunkのVayu Blocks - Gutenberg Blocks for WordPress & WooCommerceには、Webページ生成時の入力処理が適切に中和されていないため、クロスサイトスクリプティング（XSS）の脆弱性が存在します。その結果、保存型XSSが発生する可能性があります。この問題は、Vayu Blocks - Gutenberg Blocks for WordPress & WooCommerce のバージョン n/a から 1.2.1 までに影響を与えます。

WebReportsの管理ユーザーは、SAML構成を通じてクロスサイトスクリプティング（XSS）や中間者攻撃（MITM）を実行する可能性があります。

Hot ThemesのHot Random Imageにおいて、Webページ生成時の入力が適切に無害化されないことによって、クロスサイトスクリプティングの脆弱性が生じ、保存型XSSが発生する可能性があります。この問題は、Hot Random Imageのバージョンn/aから1.8.1までに影響します。

SRSはシンプルで高効率なリアルタイム動画サーバーです。SRSの「/api/v1/vhosts/vid-?callback=」エンドポイントでは、コールバック関数名のフィルタリングが行われていなかったため、悪意のあるJavaScriptペイロードが注入され、XSS（クロスサイトスクリプティング）が実行される可能性がありました。この脆弱性は、バージョン5.0.210および6.0.121で修正されています。

Xylus Themes WordPress Importer には、Webページ生成時の入力が適切に無害化されていないことによるクロスサイトスクリプティング（XSS）の脆弱性が存在し、リフレクト型XSS攻撃が可能です。この脆弱性は、WordPress Importer のバージョン n/a から 1.0.4 までのすべてに影響します。

Xylus ThemesのWP Event Aggregatorには、Webページ生成時の入力が適切に無害化されないことによるクロスサイトスクリプティングの脆弱性が存在し、リフレクト型XSSを許してしまいます。この問題はWP Event Aggregatorのバージョンn/aから1.8.2までに影響します。

RaraテーマのUltraLightには、Webページ生成時の入力を適切に無害化しないクロスサイトスクリプティング（XSS）脆弱性が存在します。この脆弱性により、リフレクト型XSS攻撃を実行される可能性があります。UltraLightのバージョンn/aから1.2までがこの問題の影響を受けます。

Quipux 4.0.1からe1774acまでのバージョンでは、anexos/anexos_nuevo.phpのasocImgRadにクロスサイトスクリプティングの脆弱性が存在しています。

Ruckus Unleashed 200.13.6.1.319のselfguestpass/guestAccessSubmit.jspのcaptive-portalエンドポイントに存在するnameパラメーターを介して、反射型クロスサイトスクリプティング（XSS）の脆弱性が悪用される可能性があります。

ETAP Safety Manager 1.0.0.32 には、認証されていない攻撃者が悪意のある HTML や JavaScript を 'action' GET パラメータに注入できるクロスサイトスクリプティングの脆弱性があります。攻撃者は特別に形成されたリクエストを送信することで、被害者のブラウザーセッション上で任意のスクリプトを実行し、認証情報を窃取したり不正な操作を行ったりする可能性があります。