脆弱性情報（JVN）検索・一覧

K2の「アイテム作成」権限（デフォルトではAuthorレベル）を持つJoomlaユーザーは、`embedVideo`のPOSTフィールドに生の`script`タグを含む記事を投稿できます。K2はそのまま保存し、記事ページの訪問者に対してエスケープせずにレンダリングします。これにより、セキュリティ上のリスクが発生します。

Pega Platform バージョン 8.1.0 から 25.1.0 までのユーザーインターフェースコンポーネントにストアドクロスサイトスクリプティングの脆弱性が存在します。この脆弱性は管理者ユーザーであり、かつ広範なアクセス権が与えられた場合に影響し、機密性への影響は低く、完全性には影響しません。

Oracle Java SE（コンポーネント：JavaFX）に存在する脆弱性です。影響を受けるサポート対象バージョンはOracle Java SE 8u471-b50です。この脆弱性は、複数のプロトコルを介したネットワークアクセスが可能な認証されていない攻撃者によって悪用される難しい問題であり、Oracle Java SEが侵害される可能性があります。成功する攻撃には攻撃者以外の人物による人的な操作が必要です。この脆弱性を利用した攻撃が成功すると、Oracle Java SEでアクセス可能な一部のデータに対し、不正な更新、挿入、または削除が行われる可能性があります。注意：この脆弱性は通常、クライアント側でサンドボックス化されたJava Web Startアプリケーションやサンドボックス化されたJavaアプレットで動作し、信頼されていないコード（例：インターネットから得られたコード）を読み込み実行し、Javaサンドボックスに依存するJava導入環境に適用されます。本脆弱性は、通常サーバー側で管理者がインストールした信頼済みコードのみを読み込み実行するJava導入環境には適用されません。CVSS 3.1基本スコアは3.1（整合性への影響）です。CVSSベクターは(CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N)です。

Sticky Side Buttons WordPressプラグインのバージョン2.0.0以前では、一部の設定が適切にサニタイズおよびエスケープされていませんでした。その結果、管理者などの高権限ユーザーがunfiltered_html権限を無効化している場合（例えばマルチサイト構成）でも、ストアドクロスサイトスクリプティング（Stored XSS）攻撃を実行できる可能性があります。

この脆弱性を悪用するためには、以下の条件が必要です。

Calibre-Web v0.6.25 には、保存型クロスサイトスクリプティング（XSS）の脆弱性が存在します。攻撃者はユーザー作成時の「ユーザー名」フィールドに悪意のあるJavaScriptを注入できます。システムはこのペイロードをサニタイズせずに保存し、その後 /ajax/listusers エンドポイントにアクセスすると実行されます。

R.V.R. Elettronica S.r.l. の TLK302T ファームウェアには、クロスサイトスクリプティングの脆弱性が存在します。

Simple multi step form project の Drupal 用 Simple multi step form には、クロスサイトスクリプティングの脆弱性が存在します。

Umami Software, Inc. の Drupal 用 Umami Analytics には、クロスサイトスクリプティングの脆弱性が存在します。

Absolute Software の secure access には、クロスサイトスクリプティングの脆弱性が存在します。

Yaron_Koren の Mediawiki 用 MintyDocs には、クロスサイトスクリプティングの脆弱性が存在します。

Browser Back Button project の Drupal 用 Browser Back Button には、クロスサイトスクリプティングの脆弱性が存在します。