全国公的データラボ読み込み中…
読み込んでいます…
脆弱性情報（JVN）
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 294,721 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
深刻度 Medium 種別 クロスサイトスクリプティング の検索結果：1,601–1,640 件目を表示（ページ 41）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
catchsquare WP Social Widgetにおけるウェブページ生成時の入力の不適切な無害化（クロスサイトスクリプティング）脆弱性により、Stored XSSが発生します。この問題はWP Social Widgetのバージョンn/aから2.2.5までに影響を及ぼします。
catchsquare WP Social Widgetには、Webページ生成時の入力を適切に中和しない脆弱性（クロスサイトスクリプティング）が存在し、これによりStored XSSが発生します。この問題は、WP Social Widgetのバージョンn/aから2.2.6までに影響を及ぼします。
catchsquare WP Social Widget におけるウェブページ生成時の入力の不適切な無害化（クロスサイトスクリプティング）脆弱性により、ストアドXSSが発生します。この問題は WP Social Widget のバージョン n/a から 2.3 までに影響を与えます。
バージョン6.5.10以前のWindows版Zoom Workplaceにおけるクロスサイトスクリプティングの脆弱性により、認証されていないユーザーがネットワークアクセスを介してシステムの完全性を損なう可能性があります。
はい。製品・ベンダ・脆弱性タイプ（CWE）で全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順に表示します。
脆弱性の深刻さを0〜10で表す共通指標です。数値が大きいほど影響が大きく、緊急・重要・警告・注意などの区分で絞り込めます。
各脆弱性の詳細ページで、影響を受ける製品・ベンダを確認できます。ベンダ名は法人検索と突き合わせて企業情報もたどれます。
JVN（IPA〔情報処理推進機構〕・JPCERT/CC 提供）の公開情報を収録しています。対応の要否は必ず各JVN詳細・公式情報でご確認ください。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全294,721件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。
Orejimeはアクセシビリティに重点を置いたコンセントマネージャーです。バージョン2.3.2以前のOrejimeが扱うHTML要素において、データ属性内に`javascript:`コードを埋め込むことで悪意のあるコードが実行される可能性がありました。関連する目的に同意すると、Orejimeはデータ属性を無接頭辞の属性に変換します（例：`data-href`を`href`に変換します）、これによりコードが実行されてしまいます。通常、Orejimeが扱う要素は一般的にハードコードされているため、ほとんどの環境では影響がありません。この問題は、誰かがページ内にHTMLコードを注入できた場合にのみ発生します。この問題はバージョン2.3.2で修正されました。回避策として、実行可能なコードを含む可能性のある属性をサニタイズすることで、Orejimeの外側でも問題を解決できます。
Xylus Themes WordPress Importerにおいて、ウェブページ生成中に入力が適切に無害化されないことによるクロスサイトスクリプティング（XSS）の脆弱性が存在し、蓄積型XSS攻撃が可能となります。この問題はWordPress Importerのバージョンn/aから1.0.7までに影響します。
Xylus ThemesのWP Event Aggregatorにおいて、ウェブページ生成時の入力が適切に無害化されていないことにより（XSSまたはクロスサイトスクリプティングの脆弱性）、保存型XSSが発生します。この問題はWP Event Aggregatorのn/aからバージョン1.7.9までのバージョンに影響を与えます。
Cameleon CMS 2.7.4には、認証された管理者が投稿タイトルに悪意のあるスクリプトを注入できる永続的なクロスサイトスクリプティングの脆弱性があります。攻撃者は埋め込まれたSVGスクリプトを含む投稿を作成でき、他のユーザーが投稿タイトルにマウスオーバーした際にスクリプトが実行されます。その結果、セッションCookieを窃取したり任意のJavaScriptコードを実行したりすることが可能です。
Microweber 2.0.15には、認証された攻撃者がユーザープロフィールのフィールドに悪意のあるスクリプトを注入できるストアドクロスサイトスクリプティングの脆弱性があります。攻撃者は名（ファーストネーム）フィールドにスクリプトのペイロードを入力でき、他のユーザーがプロフィールを閲覧した際にこれが実行されて、セッションクッキーを盗まれたり、任意のJavaScriptが実行されたりする恐れがあります。
ENOVIA Product ManagerのRequirementsに影響を与える蓄積型クロスサイトスクリプティング（XSS）脆弱性が、リリース3DEXPERIENCE R2023xからリリース3DEXPERIENCE R2025xまで存在し、攻撃者がユーザーのブラウザセッションで任意のスクリプトコードを実行できるようにします。
リフレクテッド型クロスサイトスクリプティング（XSS）の脆弱性が、Release 3DEXPERIENCE R2022xからRelease 3DEXPERIENCE R2025xまでのENOVIA Collaborative Industry Innovatorに影響を及ぼし、攻撃者がユーザーのブラウザセッションで任意のスクリプトコードを実行できる可能性があります。
Pixeon WebLaudos 25.1 (01) のパスワード変更機能にはリフレクティッドクロスサイトスクリプティング（XSS）脆弱性が存在します。loginAlterarSenha.asp ファイルの sle_sSenha パラメータが影響を受けています。攻撃者は悪意のあるURLを作成し、被害者がそのURLを訪問すると、被害者のブラウザ内で任意のJavaScriptコードが脆弱なアプリケーションのセキュリティコンテキスト内で実行されます。この問題により、攻撃者はセッションクッキーを盗んだり、機密情報を漏洩させたり、ユーザーを代表して不正な操作を行ったり、フィッシング攻撃を実行したりする可能性があります。
Catch Themes Full frame におけるウェブページ生成時の入力の不適切な無害化により、ストアドXSS（クロスサイトスクリプティング）の脆弱性が発生します。この問題は Full frame のバージョン n/a から 2.7.2 までに影響を及ぼします。
Catch Themes の Catch Base におけるウェブページ生成時の入力の不適切な無害化（XSS またはクロスサイトスクリプティング）により、Stored XSS が可能になる脆弱性です。この問題は Catch Base のバージョン n/a から 3.4.6 までに影響します。
Catch Themes Essential WidgetsのEssential Widgetsにおけるウェブページ生成時の入力の不適切な無害化（クロスサイトスクリプティング）脆弱性により、ストアドXSSが発生します。この問題は、Essential Widgetsのバージョンn/aから2.2.2以下に影響を与えます。
SVX Portal 2.7A の Recivers.php における id パラメータを介した反射型クロスサイトスクリプティング（XSS）が発生する脆弱性です。
Theme HorseのWP Portfolioには、Webページ生成時の入力の不適切な中和（クロスサイトスクリプティング）による脆弱性が存在し、保存型XSSが許可されてしまいます。この問題は、WP Portfolioのバージョンn/aから2.4までに影響します。
Catch ThemesのCreateにおけるWebページ生成時の入力が適切に無害化されないこと（XSSまたは「クロスサイトスクリプティング」）により、保存型XSSが発生する恐れがあります。この問題は、Createのバージョンn/aから2.9.1までに影響します。
この脆弱性は、あるパラメータがページに出力される前に適切なサニタイズおよびエスケープ処理が行われていないため、リフレクテッド型クロスサイトスクリプティング（XSS）が発生する可能性があります。これにより、管理者などの高い権限を持つユーザーが悪用される危険性があります。
ThemeHunkのVayu Blocks - Gutenberg Blocks for WordPress & WooCommerceには、Webページ生成時の入力処理が適切に中和されていないため、クロスサイトスクリプティング（XSS）の脆弱性が存在します。その結果、保存型XSSが発生する可能性があります。この問題は、Vayu Blocks - Gutenberg Blocks for WordPress & WooCommerce のバージョン n/a から 1.2.1 までに影響を与えます。
WebReportsの管理ユーザーは、SAML構成を通じてクロスサイトスクリプティング（XSS）や中間者攻撃（MITM）を実行する可能性があります。
Hot ThemesのHot Random Imageにおいて、Webページ生成時の入力が適切に無害化されないことによって、クロスサイトスクリプティングの脆弱性が生じ、保存型XSSが発生する可能性があります。この問題は、Hot Random Imageのバージョンn/aから1.8.1までに影響します。
SRSはシンプルで高効率なリアルタイム動画サーバーです。SRSの「/api/v1/vhosts/vid-?callback=」エンドポイントでは、コールバック関数名のフィルタリングが行われていなかったため、悪意のあるJavaScriptペイロードが注入され、XSS（クロスサイトスクリプティング）が実行される可能性がありました。この脆弱性は、バージョン5.0.210および6.0.121で修正されています。
Xylus Themes WordPress Importer には、Webページ生成時の入力が適切に無害化されていないことによるクロスサイトスクリプティング（XSS）の脆弱性が存在し、リフレクト型XSS攻撃が可能です。この脆弱性は、WordPress Importer のバージョン n/a から 1.0.4 までのすべてに影響します。
Xylus ThemesのWP Event Aggregatorには、Webページ生成時の入力が適切に無害化されないことによるクロスサイトスクリプティングの脆弱性が存在し、リフレクト型XSSを許してしまいます。この問題はWP Event Aggregatorのバージョンn/aから1.8.2までに影響します。
RaraテーマのUltraLightには、Webページ生成時の入力を適切に無害化しないクロスサイトスクリプティング（XSS）脆弱性が存在します。この脆弱性により、リフレクト型XSS攻撃を実行される可能性があります。UltraLightのバージョンn/aから1.2までがこの問題の影響を受けます。
Quipux 4.0.1からe1774acまでのバージョンでは、anexos/anexos_nuevo.phpのasocImgRadにクロスサイトスクリプティングの脆弱性が存在しています。
Ruckus Unleashed 200.13.6.1.319のselfguestpass/guestAccessSubmit.jspのcaptive-portalエンドポイントに存在するnameパラメーターを介して、反射型クロスサイトスクリプティング（XSS）の脆弱性が悪用される可能性があります。
ETAP Safety Manager 1.0.0.32 には、認証されていない攻撃者が悪意のある HTML や JavaScript を 'action' GET パラメータに注入できるクロスサイトスクリプティングの脆弱性があります。攻撃者は特別に形成されたリクエストを送信することで、被害者のブラウザーセッション上で任意のスクリプトを実行し、認証情報を窃取したり不正な操作を行ったりする可能性があります。
産業用制御システム（ICS）やOT/IoTセキュリティに特化したセキュリティ企業であるNozomi Networks Labsが、受信したXML形式のリクエストメッセージの検証が不十分であることを発見しました。この脆弱性によって、攻撃者がユーザーのブラウザ上でXSS（クロスサイトスクリプティング）を実行する可能性があります。メーカーは本脆弱性に対する修正済みファームウェアをリリースしているため、詳細および回避策についてはメーカーのレポートを参照する必要があります。
Extend ThemesのColibri Page Builderには、不適切な入力除去によってWebページ生成時に『クロスサイトスクリプティング（XSS）』の脆弱性が存在し、保存型XSS攻撃を受ける可能性があります。この問題は、Colibri Page Builderのバージョンn/aから1.0.319までに影響します。
Extend ThemesのColibri Page Builder（colibri-page-builder）には、Webページ生成時の入力が適切に処理されないことによるクロスサイトスクリプティング（XSS）の脆弱性が存在し、保存型XSS攻撃を許してしまいます。この脆弱性は、Colibri Page Builderのバージョンn/aから1.0.334より前のバージョンに影響します。
FileRiseは、複数ファイルのアップロードや編集、バッチ操作に対応したセルフホスト型のウェブベースファイルマネージャです。バージョン2.2.3より前のバージョンでは、アップロードされたSVGファイルの不適切な処理が原因で、FileRiseアプリケーションに保存型クロスサイトスクリプティング（XSS）の脆弱性が存在していました。アプリケーションがSVGファイルのアップロード時に埋め込まれたスクリプトコンテンツをサニタイズや制限せずに受け入れたため、悪意のあるSVGにインラインJavaScriptやイベントベースのペイロードが仕込まれている場合、それらがアプリケーション内で表示される際にブラウザで直接レンダリングされ、XSS攻撃が可能になっていました。SVGはXMLベースでスクリプトを許可しているため、アプリケーションのオリジンコンテキストでコードが実行され、完全な保存型XSSが発生する恐れがありました。この脆弱性はバージョン2.2.3で修正されています。
TrueConf Server 5.5.2.10813 の会議説明フィールドには HTML インジェクションの脆弱性が存在しています。この脆弱性により、攻撃者は作成・編集会議の機能を利用して任意の HTML を挿入できます。挿入されたペイロードは、被害者が「会議情報」ページ（[conference url]/info）を開いた際に実行されます。
phpMyFAQはオープンソースのFAQウェブアプリケーションです。バージョン4.0.14および4.0.15には保存型クロスサイトスクリプティング（XSS）の脆弱性が存在し、攻撃者は表示名にHTMLエンティティを含むユーザーを登録することで、管理者のブラウザ上で任意のJavaScriptを実行できます。管理者が管理ユーザーリストを閲覧すると、ペイロードがサーバー側でデコードされ、エスケープされないまま描画されるため、管理者の権限でスクリプトが実行されます。バージョン4.0.16ではこの問題に対するパッチが提供されています。
ストアドHTMLインジェクションの脆弱性が、ネットワークトラフィックデータの検証不備によってTime MachineのSnapshot Diff機能から発見されました。認証されていない攻撃者は、異なる2つのタイミングで細工されたネットワークパケットを送信することで、2つのスナップショット間のアセット属性にHTMLタグを挿入できます。悪用するためには、被害者がそれら特定のスナップショットでTime MachineのSnapshot Diff機能を利用して特定のGUI操作を実行する必要があり、その結果、挿入されたHTMLがブラウザでレンダリングされてフィッシングやオープンリダイレクト攻撃が実行される可能性があります。ただし、入力検証やContent Security Policy（CSP）によって、完全なXSSの悪用は防がれています。複数の条件が必要となるため、攻撃の複雑性は高くなっています。
ネットワークトラフィックデータの検証が不十分であるため、アセットリスト機能に保存型HTMLインジェクションの脆弱性が存在します。未認証の攻撃者は、特別に細工したネットワークパケットを送信することで、アセット属性にHTMLタグを注入できます。被害者がアセットリストや類似機能で影響を受けたアセットを閲覧すると、注入されたHTMLがブラウザ上でレンダリングされ、フィッシング攻撃やオープンリダイレクト攻撃が実行されるおそれがあります。ただし、既存の入力バリデーションとContent Security Policy構成によって、完全なXSS攻撃や直接的な情報漏洩は防止されています。
Esri ArcGIS Server 11.4およびそれ以前のWindowsおよびLinuxバージョンには、保存型クロスサイトスクリプティングの脆弱性が存在します。特定の構成下では、リモートの認証されていない攻撃者が悪意のあるコードを含むファイルを保存することができ、その結果、被害者のブラウザのコンテキストでコードが実行される可能性があります。
Esri ArcGIS Server 11.4およびそれ以前のWindowsおよびLinuxには、保存型クロスサイトスクリプティングの脆弱性が存在します。一部の構成では、リモートの認証されていない攻撃者が被害者のブラウザのコンテキストで悪意のあるコードを実行できるファイルを保存できる可能性があります。
Esri ArcGIS Server 11.4 およびそれ以前の Windows および Linux バージョンには、格納型クロスサイトスクリプティング（XSS）の問題が存在します。特定の構成において、リモートの認証されていない攻撃者が、被害者のブラウザのコンテキストで悪意のあるコードを実行できるファイルを保存する可能性があります。