脆弱性情報（JVN）検索・一覧

Checkmkのバージョン2.5.0p5、2.4.0p31、2.3.0p48、およびすべての2.2.0バージョンにおいて、グローバル設定変更ログに保存されたクロスサイトスクリプティング（XSS）の脆弱性が存在します。グローバル設定を変更できる管理者が、変更履歴メッセージに悪意のあるHTMLやJavaScriptを保存でき、そのスクリプトが他のユーザーが「変更を有効化」ページや監査ログを閲覧した際に実行される可能性があります。

Checkmkのバージョン2.5.0p5未満、2.4.0p31未満、2.3.0p48未満およびすべての2.2.0バージョンには、サービスディスカバリーのアクティブチェック出力に保存型クロスサイトスクリプティングの脆弱性があります。これにより、アクティブチェックまたはカスタムチェックの設定が可能な管理者が悪意のあるHTMLまたはJavaScriptをチェック出力に注入でき、そのコードはサービスディスカバリー画面でチェックを実行する管理者やホストの読み取り権限を持つユーザーのブラウザ上で実行されます。

Google Chrome 149.0.7827.53 より前のバージョンにおいて、CSS の不適切な実装が原因で、リモートの攻撃者が細工された HTML ページを介して任意のスクリプトや HTML（UXSS）を注入できる可能性がありました。

OpenCTIは、サイバー脅威インテリジェンスの知識と観測情報を管理するオープンソースプラットフォームです。7.260227.0以前のバージョンには、メールメッセージの観測データ本文のレンダリング時にXSSの脆弱性があります。本文フィールドの内容が適切にサニタイズされずにレンダリングされるためです。ユーザーの操作が必要ですが、stixやいずれかのインジェスターを共有する人物によって悪用される可能性があります。これによりCSRFが発生し、大規模なセッション乗っ取りが起こる恐れがあります。バージョン7.260227.0で修正されています。

Prometheusはオープンソースの監視システムおよび時系列データベースです。バージョン2.49.0から3.5.3未満および3.11.3において、PrometheusサーバのレガシーWeb UI（コマンドラインフラグ--enable-feature=old-uiで有効化）では、ヒストグラムのヒートマップチャートビューが軸の目盛りラベルとして使用するためにHTMLに挿入する際にラベル値をエスケープしません。そのため、作成されたメトリクスを注入できる攻撃者は、ヒートマップチャートUIでメトリクスを表示する任意のPrometheusユーザのブラウザ上でJavaScriptを実行することが可能となります。この脆弱性はバージョン3.5.3および3.11.3で修正されています。

Windows上のForcepoint Web Security（オンプレミス）において、ウェブページ生成時に入力の無害化が不適切に行われるため、ストアドXSSが発生する可能性があります。この問題はバージョン8.5.6までのWeb Securityに影響を及ぼします。

ABB T-MAC Plusにおけるウェブページ生成時の入力の不適切な無害化により、クロスサイトスクリプティングの脆弱性が存在します。この問題はT-MAC Plusバージョン4.0-24に影響します。

Koha 25.11およびそれ以前のバージョンにクロスサイトスクリプティング脆弱性があり、この脆弱性によりリモートの攻撃者が請求書機能のファイルアップロード機能を介して任意のコードを実行できます。

Drupal avatar_uploader 7.x-1.0-beta8 には、認証されていない攻撃者が file パラメータを操作することで悪意のあるスクリプトを注入できるリフレクト型クロスサイトスクリプティングの脆弱性があります。攻撃者は avatar_uploader.pages.inc の file パラメータにスクリプトペイロードを含む URL を作成し、それによって被害者のブラウザで任意の JavaScript を実行させることができます。

React RouterはReact用のルーターです。バージョン7.7.0から7.13.1までの間において、React Routerの不安定なReactサーバーコンポーネント（RSC）APIを使用し、信頼されていないソースからリダイレクトが行われる場合、RSCのリダイレクト処理にクライアントサイドのクロスサイトスクリプティング（XSS）脆弱性が発生する可能性があります。不安定なRSC APIを使用していないアプリケーションには影響がありません。この脆弱性はバージョン7.13.2で修正されました。

AppsmithのSQLクエリエディタのオートコンプリート機能は、innerHTMLにレンダリングする前にデータベースオブジェクト名のサニタイズを行わないため、認証された開発者が悪意のあるテーブル名やカラム名を用いて永続的なXSSを注入できます。この結果、同じデータソースを操作する他のワークスペースメンバーのセッションで任意のコードを実行させる可能性があります。

cveInterface.jsにおけるXSS脆弱性は、CVE APIサービスからの入力をcveInterfaceが信頼しているため、HTMLの注入が表示に渡されてしまう問題です。

Kiteworksはプライベートデータネットワーク（PDN）です。バージョン9.3.0以前のKiteworks Secure Data Formsには保存型XSSの脆弱性が存在しており、認証された攻撃者が他のユーザーのセッションで任意のJavaScriptコードを実行する可能性があります。脆弱性を修正するには、Kiteworksをバージョン9.3.0以降にアップグレードしてください。

SAP NetWeaver Application Server ABAP（Business Server Pagesに基づくアプリケーション）にはリフレクティッドクロスサイトスクリプティング（XSS）脆弱性が存在します。この脆弱性により、認証されていない攻撃者が保護されていないURLパラメータを悪用したURLを作成し、悪意のあるスクリプトを埋め込む可能性があります。被害者がそのリンクをクリックすると、注入された入力がWebページ生成時に処理され、被害者のブラウザコンテキストで悪意のあるコンテンツが実行されます。これにより攻撃者は情報のアクセスおよび/または改ざんを行うことができ、アプリケーションの機密性と完全性に影響を及ぼしますが、可用性には影響を与えません。

React RouterはReact用のルーターです。バージョン7.5.1から7.13.1までの間で、プリレンダリングが有効なフレームワークモードを使用している場合、HTTPの`Location`ヘッダー値の不適切な無害化により、リダイレクト先が信頼できないソースから来ると、静的に生成されたHTMLファイル内でクロスサイトスクリプティング（XSS）が発生する可能性があります。これは宣言モード（`BrowserRouter`）やデータモード（`createBrowserRouter/RouterProvider`）を使用しているアプリケーションには影響しません。この問題はバージョン7.13.2で修正されました。

Firefox for iOSのリーダービューは、他の内部プレースホルダーを置き換える前にHTMLテンプレート内のページコンテンツを置き換えていました。悪意のあるページは、その後JSON-LDデータに置き換えられるプレースホルダー文字列を含めることができ、任意のJavaScriptを実行させる可能性がありました。この脆弱性はFirefox for iOS 151.2で修正されました。

Firefox for iOSのリーダービューはJSON-LDメタデータ内のHTMLタグを適切にエスケープしていませんでした。悪意のあるページがマークアップを注入することでリーダービューの動作を変更し、機密性の高いURLパラメータが漏洩する可能性がありました。これらのパラメータは内部ページへアクセスするために利用される可能性があり、その結果として内部オリジンで任意のJavaScriptが実行される恐れがありました。この脆弱性はFirefox for iOS 151.2で修正されました。

148.0.7778.216以前のiOS上のGoogle Chromeには不適切な実装があり、リモート攻撃者が特定のUIジェスチャーをユーザーに実行させるよう説得することで、細工されたHTMLページを介して任意のスクリプトやHTMLを注入できるUXSSの脆弱性が存在します。Chromiumのセキュリティ深刻度は高いです。

Synology Safe AccessのSafe Access 1.3.1-0329以前のバージョンには、ウェブページ生成時の入力の不適切な無害化（クロスサイトスクリプティング）脆弱性があります。この脆弱性により、管理者権限を持つリモート認証ユーザーが機密性の低い特定のファイルを読み取ったり書き込んだりしたり、SRMにおいて制限されたサービス拒否を引き起こしたりする可能性があります。

Garmin WDU（v1 1.4.6およびv2 5.0）でローカルに提供されるウェブサイトは、反射型クロスサイトスクリプティング（XSS）攻撃を許容します。これにより、ローカルネットワークセグメント上の攻撃者がWDUのウェブページのコンテキスト内で任意のJavaScriptコードを実行できます。その結果、デバイスに対して完全な管理者レベルのアクセスが可能になります。この脆弱性を悪用するには、被害者が2つの操作を行う必要があります：(1) WDUが提供する特定のURLを閲覧し、(2) レンダリングされたページ上の要素をクリックすることです。

Verbaはログインログ機構においてストアドクロスサイトスクリプティング（XSS）の脆弱性の影響を受けています。認証されていないリモート攻撃者が誤ったユーザー名とパスワードの組み合わせでログインを試みると、供給されたユーザー名の値がアプリケーションログに記録されます。入力のサニタイズが行われていないため、攻撃者はユーザー名フィールドに悪意のあるXSSペイロードを注入できます。このペイロードは、管理者がWebアプリケーションのログビューアにアクセスした際に管理者のブラウザのコンテキストで実行されます。ベンダーには早期にこの脆弱性について通知しましたが、メッセージには応答がありませんでした。本問題はバージョン10.0.6で修正されました。

TP-LinkのTL-SG108PE v5スイッチのウェブ管理インターフェースにおいて、設定ファイルのインポート時にSYSNAM構成パラメータが適切にサニタイズされていないことに起因する永続的なクロスサイトスクリプティング（XSS）脆弱性が特定されました。管理者権限を持つ攻撃者は、悪意のあるスクリプトをデバイスの構成に注入でき、影響を受けるインターフェースが表示された際に管理者のブラウザでそのスクリプトが実行される可能性があります。成功した悪用によっては、セッションクッキーを窃取したり、許可されていない設定を変更したり、管理インターフェースを通じて公開される機密情報にアクセスしたりすることが可能となります。

Drupal 7のTerm Reference Treeモジュールにおいて、ウィジェットおよびフォーマッタのレンダリングパイプラインに2つの格納型XSSベクトルが存在します。ベクトルA（トークン表示テンプレート）では、Tokenモジュールが有効でトークン表示テンプレートが設定されている場合に、攻撃者が制御するトークン出力（例：用語の説明）が適切にサニタイズされずにレンダリングされます。参照されている分類用語を編集できるユーザーは、フィールド表示時に実行されるHTMLやJavaScriptを注入できます。ベクトルB（用語ラベルのレンダリング）では、分類用語ラベルがウィジェットで表示される前に適切にサニタイズされておらず、分類用語の作成または編集権限を持つユーザーは、ウィジェットを含むフォーム表示時に実行されるスクリプトを用語名に注入することが可能です。これらのエクスプロイトは7.x-1.xシリーズのバージョン7.x-1.11までに影響を及ぼします。

Drupal 7 用の Simple Hierarchical Select (SHS) は、用語由来のテキストの出力エスケープが不適切であるため、クロスサイトスクリプティングのリスクがあります。影響を受ける経路には、フィールドフォーマッタ出力（shs_field_formatter_view）およびタームツリーの子タームデータ生成（shs_term_get_children）が含まれます。悪意のある分類語ターム名は、出力コンテキストに応じて安全にレンダリングされない可能性があります。この問題はバージョン7.x-1.0から7.x-1.10（含む）までに影響します。

oRPCはエンドツーエンドで型安全かつOpenAPI標準に準拠したAPIを構築するためのツールです。バージョン1.13.9より前のバージョンには、oRPCのOpenAPIドキュメント生成にストアドクロスサイトスクリプティング（XSS）の脆弱性が存在していました。攻撃者がOpenAPI仕様内の任意のフィールド（例えばinfo.description）を制御できる場合、JSONコンテキストを抜け出し、ユーザーが生成されたAPIドキュメントを閲覧する際に任意のJavaScriptを実行できます。この問題はバージョン1.13.9で修正されました。

Keycloakの組織選択ログインページに脆弱性が発見されました。リモートの攻撃者が`manage-realm`または`manage-organizations`の管理権限を持っている場合、Stored Cross-Site Scripting（XSS）脆弱性を悪用できます。この脆弱性は`organization.alias`がインラインJavaScriptの`onclick`ハンドラに埋め込まれているため発生し、ログインページを表示したユーザーのブラウザで細工されたJavaScriptペイロードが実行される可能性があります。攻撃が成功すると、任意のJavaScriptを実行でき、セッションの盗難や不正なアカウント操作、さらには影響を受けるレルムのユーザーに対する追加の攻撃につながる恐れがあります。

Apache ActiveMQおよびApache ActiveMQ Webには、ウェブページ生成中に入力が不適切に無害化されるクロスサイトスクリプティング脆弱性があります。ActiveMQ WebコンソールAPIのMessageServletは、すべてのJMSメッセージプロパティを検証せずにHTTPレスポンスヘッダーにコピーします。これにより、サーブレットが返すJMSメッセージに設定されたヘッダーによってセキュリティヘッダーが上書きされたり注入されたりする恐れがあります。この問題は、Apache ActiveMQの5.19.7未満、および6.0.0から6.2.6未満、またApache ActiveMQ Webの5.19.7未満、および6.0.0から6.2.6未満のバージョンに影響します。ユーザーはこの問題を修正したバージョン5.19.7または6.2.6へのアップグレードを推奨します。なお、MessageServletは現在非推奨となっており、デフォルトで無効化されています。

podinfo 6.11.2までのバージョンには、/echoおよび/api/echoエンドポイントに反射型クロスサイトスクリプティングの脆弱性があります。この脆弱性は、echoHandlerがリクエストボディの内容を明示的なContent-TypeまたはX-Content-Type-Optionsヘッダーを設定せずにレスポンスに直接書き込むことが原因です。攻撃者は、リクエストボディにスクリプトペイロードを含む自動送信フォームを持つクロスオリジンのHTMLページを巧みに作成できます。Goのコンテンツタイプ検出によりtext/htmlとして提供されるため、その結果、被害者が攻撃者のページを訪問すると反射されたスクリプトがpodinfoのオリジンコンテキスト内で実行される可能性があります。

WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン29.0およびそれ以前には、格納型クロスサイトスクリプティングの脆弱性があります。Liveプラグインの「YouTube風」ビューでは、ライブ配信のストリームキーをhtmlspecialchars()を使用せずに生のままHTMLのclass属性に出力します。canStreamユーザーはplugin/Live/saveLive.phpを介してイベントハンドラを含むキーを永続化できます。また、ログイン済み・匿名を問わず任意の訪問者がストリームのライブページを開くと、プラットフォームのオリジン内で攻撃者のJavaScriptが実行されます。

WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン29.0およびそれ以前のバージョンでは、AVideoはユーザー入力からカテゴリ説明を保存し、その後Galleryビューでcategory_descriptionを生のHTMLとしてレンダリングします。カテゴリを作成または編集できるユーザーは、カテゴリ説明にJavaScriptを保存でき、別のユーザーが影響を受けるGalleryまたはカテゴリページを閲覧した際にそのスクリプトが実行されます。これはカテゴリ説明フィールドにおける保存型クロスサイトスクリプティング（XSS）の脆弱性であり、以前に修正されたビデオタイトルやコメントのXSS問題とは別のものです。

JetBrains YouTrack 2026.1.13162 より前のバージョンには、プロジェクト通知テンプレートに保存型XSSの脆弱性が存在していました。

JetBrains TeamCity の 2026.1 より前のバージョンにおいて、2025年11月5日にリポジトリダウンロードページで反射型クロスサイトスクリプティング（XSS）の脆弱性が存在していました。