脆弱性情報（JVN）検索・一覧

IBM Planning Analytics 2.0 および 2.1 には、保存型クロスサイトスクリプティングの脆弱性があります。この脆弱性により、認証済みユーザーが任意のJavaScriptコードをWeb UIに埋め込むことが可能となり、本来の機能が変更される可能性があります。これにより、信頼されたセッション内で資格情報が漏洩する恐れがあります。

IBM Planning Analytics 2.0および2.1には、不適切な出力エンコーディングの問題があり、リモートの認証済み攻撃者が任意のJavaScriptを実行できる可能性があります。

Microsoft Office SharePoint におけるウェブページ生成時の入力の不適切な無害化（「クロスサイトスクリプティング」）により、認証された攻撃者がネットワーク上でなりすましを実行する可能性があります。

Microsoft Office SharePointのウェブページ生成時に入力の不適切な無害化（「クロスサイトスクリプティング」）が存在するため、認証された攻撃者がネットワーク上でなりすますことが可能となります。

Microsoft Office SharePoint におけるウェブページ生成中の入力の不適切な無害化（クロスサイトスクリプティング）により、認可された攻撃者がネットワーク上でなりすましを行う可能性があります。

Microsoft Office SharePoint において、ウェブページ生成時の入力が不適切に無害化される（クロスサイトスクリプティングの脆弱性）ため、認可された攻撃者がネットワーク上でなりすますことが可能となります。

IBM i 7.3、7.4、7.5、および7.6は、ユーザーから提供された入力を不適切に検証することにより、リモートの認証済み攻撃者が任意のスクリプトコードを実行できる可能性があります。

Microsoft Office SharePointのウェブページ生成時における入力の不適切な無害化（クロスサイトスクリプティング）により、不正な攻撃者がネットワーク上でなりすましを行うことが可能となります。

IBM Security Verify Access 10.0から10.0.9.2、およびIBM Verify Identity Access 11.0から11.0.3のローカル管理インターフェースには、特定の設定においてクロスサイトスクリプティングの脆弱性があります。この脆弱性により、認証済みユーザーが任意のJavaScriptコードをWeb UIに埋め込んで本来の機能を変更できるため、信頼されたセッション内で資格情報が漏洩する可能性があります。

IBM Security Verify Access 10.0 から 10.0.9.2、ならびに IBM Verify Identity Access 11.0 から 11.0.3 にはクロスサイトスクリプティングの脆弱性があります。この脆弱性により、認証されていないユーザーが任意のJavaScriptコードをWeb UIに埋め込み、本来の機能を変更できるため、信頼されたセッション内で資格情報が漏洩する可能性があります。

IBM Security Verify Access 10.0から10.0.9.2、および IBM Verify Identity Access 11.0から11.0.3にクロスサイトスクリプティングの脆弱性があります。この脆弱性により、認証済みユーザーがWeb UIに任意のJavaScriptコードを埋め込むことができ、意図された機能が変更されて、信頼されたセッション内で認証情報が漏洩する可能性があります。

IBM Guardium Data Protection 12.2 IBM Security Guardium Data Protection は、クイックサーチ結果グリッドにおいて格納型クロスサイトスクリプティング（XSS）の脆弱性を含んでいます。この脆弱性により、監視対象のデータベーストラフィックに影響を与える可能性がある認証されていない攻撃者が、認証された Guardium ユーザーのブラウザ上で悪意のあるスクリプトを実行できる可能性があります。

JetBrains YouTrack 2026.2.19422以前のバージョンでは、VCSコマンド失敗通知においてHTMLインジェクションが可能でした。

JetBrains YouTrackの2026.2.18991以前のバージョンでは、User-Agentヘッダーを介して保存型HTMLインジェクションが可能でした。

JetBrains YouTrack 2026.2.19197以前のバージョンにおいて、ワークフローのエラー通知トーストに格納型クロスサイトスクリプティング（Stored XSS）が発生する可能性がありました。

Moodleに脆弱性が発見されました。フォーラム投稿の表示に使用されるテンプレートでの出力エスケープが不十分なため、永続的なクロスサイトスクリプティング（XSS）の脆弱性があります。攻撃者は悪意のある内容をフォーラム投稿に注入でき、その投稿を閲覧している他のユーザーのブラウザ上で任意のスクリプトコードを実行させることが可能です。

Moodleに脆弱性が発見されました。パスワードリセットページにおけるユーザー名入力のサニタイズが不十分であるため、リモートの攻撃者がクロスサイトスクリプティング（XSS）攻撃を実行可能です。認証されていないユーザーに特別に細工されたパスワードリセットリンクへアクセスさせることで、攻撃者は被害者のブラウザ上で任意のスクリプトを実行できます。

154.0.8037.92以前のGoogle ChromeのWebUIにおけるクロスサイトスクリプティングの脆弱性により、リモート攻撃者が細工されたHTMLページを介して特権ページのウェブオリジンポリシーを回避できる可能性がありました。（Chromiumセキュリティの重大度は高と評価されています）

Hugoのバージョン0.75.0から0.165.xにかけて、ストアドクロスサイトスクリプティングの脆弱性が存在していました。シンタックスハイライターは`lineAnchors`オプションをChromaに渡す前にエスケープ処理を行わず、その値を生成される行番号マークアップの`id`および`href`属性にそのまま書き込んでいました。Markdownコードフェンスの属性として（または`highlight`テンプレート関数に渡された場合）細工された`lineAnchors`の値により、レンダリングされたページにエスケープされていないHTMLが含まれ、生成されたサイトを訪問するブラウザ上で恣意的なJavaScriptが実行されてしまいます。これは、信頼できない寄稿者からのMarkdownをビルドおよび公開するサイトに影響を及ぼします。Hugoのセキュリティモデルでは通常、コンテンツは信頼できる入力と見なされています。本問題は0.166.0で修正されており、`lineAnchors`の値はChromaに渡す前にHTMLエスケープされるようになりました。

Hugoは静的サイトジェネレーターです。バージョンv0.56.0からv0.165.xまでの間、text/orgメディアタイプにマッピングされたコンテンツファイルは、生のHTMLをエスケープせずにレンダリングされていました。Orgエクスポートブロックや@@html:...@@スニペットはHTMLをエスケープせずに通過させるため、生成されたサイトでクロスサイトスクリプティング（XSS）が発生します。/content以下のコンテンツファイルやコンテンツアダプターの出力に対して操作または影響を及ぼせる攻撃者は、影響を受けるページの訪問者のブラウザで実行されるスクリプトを注入することができます。text/orgメディアタイプを宣言しているソースファイルまたはコンテンツアダプター出力を持つページのみが影響を受け、すべてのコンテンツソースを完全に信頼しているサイトでは影響を受けません。バージョンv0.166.0では、デフォルトでtext/orgを拒否するsecurity.allowContent許可リストを導入することでこの問題を修正しました。Org Modeコンテンツを意図的に作成するサイトは、[security] allowContent = ['.*']と設定することで再度許可できます。

Adobe Connectは、攻撃者が悪意のあるスクリプトを脆弱なフォームフィールドに注入するために悪用可能な格納型クロスサイトスクリプティング（XSS）脆弱性の影響を受けています。被害者が脆弱なフィールドを含むページを閲覧すると、悪意のあるJavaScriptが被害者のブラウザで実行される可能性があります。スコープが変更されました。

Concrete CMS 9.5.3より前のバージョンでは、YouTubeブロックの保存された幅と高さの値に対してtrim()のみが適用されており、これらの値はエスケープや整数キャストなしにiframeのHTML属性へ出力されていました。このため、保存型クロスサイトスクリプティング脆弱性が存在しました。edit_block権限を持つユーザーは、ページを表示する訪問者のブラウザでスクリプトを実行するイベントハンドラを注入でき、被害者が管理者であった場合には管理者権限で動作しました。Concrete CMSのセキュリティチームはこの脆弱性にCVSS v4.0のスコア7.3（ベクター：CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N）を割り当てました。報告者にはsh4d0byssへの感謝の意を表します。

Adobe Experience Managerは、DOMベースのクロスサイトスクリプティング（XSS）脆弱性の影響を受けています。攻撃者はこの問題を悪用して、被害者のブラウザのコンテキスト内で悪意のあるJavaScriptを実行するために、DOM環境を操作する可能性があります。この問題を悪用するためにはユーザーの操作が必要であり、被害者が細工されたウェブページを訪問しなければなりません。適用範囲が変更されています。

Adobe Experience Manager は、DOM ベースのクロスサイトスクリプティング（XSS）脆弱性の影響を受けます。攻撃者は被害者のブラウザのコンテキスト内で悪意のある JavaScript を実行するために、DOM 環境を操作してこの問題を悪用する可能性があります。この問題を悪用するにはユーザーの操作が必要であり、被害者は作成されたウェブページを訪問しなければなりません。影響範囲が変更されました。

Adobe Experience Managerは、DOMベースのクロスサイトスクリプティング（XSS）脆弱性の影響を受けています。攻撃者はDOM環境を操作することで、被害者のブラウザのコンテキスト内で悪意のあるJavaScriptを実行することが可能です。この問題を悪用するには、被害者が細工されたウェブページを訪問するというユーザーの操作が必要です。スコープが変更されました。

Adobe Experience Managerは、権限の低い攻撃者によって脆弱なフォームフィールドに悪意のあるスクリプトを注入される可能性がある、格納型クロスサイトスクリプティング（XSS）の脆弱性の影響を受けています。被害者が脆弱なフィールドを含むページを閲覧すると、悪意のあるJavaScriptがブラウザ上で実行される恐れがあります。範囲が変更されています。

Adobe Experience Managerは、DOMベースのクロスサイトスクリプティング（XSS）脆弱性の影響を受けています。攻撃者はこの問題を悪用して、被害者のブラウザのコンテキスト内で悪意のあるJavaScriptを実行するためにDOM環境を操作する可能性があります。この問題を悪用するにはユーザーの操作が必要であり、被害者が細工されたウェブページを訪問しなければなりません。スコープが変更されました。

Adobe Experience Manager は、DOM ベースのクロスサイトスクリプティング（XSS）脆弱性に影響を受けています。攻撃者は、DOM 環境を操作することで、被害者のブラウザのコンテキスト内で悪意のある JavaScript を実行できます。この問題を悪用するには、被害者が細工されたウェブページを訪問するというユーザーの操作が必要です。影響範囲が変更されました。

Adobe Experience Managerは、DOMベースのクロスサイトスクリプティング（XSS）脆弱性の影響を受けています。攻撃者は、DOM環境を操作して被害者のブラウザ内で悪意のあるJavaScriptを実行することで、この問題を悪用する可能性があります。この問題を悪用するにはユーザーの操作が必要であり、被害者が細工されたウェブページを訪問する必要があります。影響範囲が変更されています。

XenForo 2.3.13より前のバージョンには、動的リダイレクトハンドラにクロスサイトスクリプティングの脆弱性が含まれており、認証されていない攻撃者がホストの検証を回避する悪意のあるjavascript: URIを作成することで、掲示板のオリジン内で任意のJavaScriptを実行することが可能です。攻撃者はURIの権限コンポーネントに掲示板のホスト名を埋め込み、パーセントエンコードされた改行を使用してサーバー側のフィルターを回避し、フォローアクションを実行する認証ユーザーに攻撃者が提供したJavaScriptをブラウザで実行させることができます。

Adobe Experience Manager は、DOMベースのクロスサイトスクリプティング（XSS）脆弱性の影響を受けています。攻撃者はこの問題を悪用してDOM環境を操作し、被害者のブラウザのコンテキスト内で悪意のあるJavaScriptを実行する可能性があります。この問題を悪用するには、被害者が細工されたウェブページを訪問するというユーザーの操作が必要です。影響範囲が変更されています。

Adobe Experience ManagerはDOMベースのクロスサイトスクリプティング（XSS）脆弱性の影響を受けます。攻撃者は被害者のブラウザのコンテキスト内で悪意のあるJavaScriptを実行するために、DOM環境を操作してこの問題を悪用する可能性があります。この問題を悪用するには、被害者が作成されたウェブページを訪問するなどのユーザー操作が必要です。対象範囲が変更されました。

Adobe Experience ManagerはDOMベースのクロスサイトスクリプティング（XSS）脆弱性に影響を受けています。攻撃者は被害者のブラウザのコンテキスト内で悪意のあるJavaScriptを実行するために、DOM環境を操作してこの問題を悪用する可能性があります。この問題を悪用するには、被害者が細工されたウェブページを訪問するなど、ユーザーの操作が必要です。影響の範囲が変更されています。

Adobe Experience Managerは、DOMベースのクロスサイトスクリプティング（XSS）脆弱性の影響を受けます。攻撃者は、この問題を悪用してDOM環境を操作し、被害者のブラウザのコンテキスト内で悪意のあるJavaScriptを実行する可能性があります。この問題を悪用するためには、被害者が細工されたウェブページを訪問するというユーザーの操作が必要となります。影響範囲が変更されています。

Adobe Experience Manager は、DOMベースのクロスサイトスクリプティング（XSS）脆弱性の影響を受けています。攻撃者は、被害者のブラウザのコンテキスト内で悪意のあるJavaScriptを実行するために、DOM環境を操作してこの問題を悪用する可能性があります。この問題を悪用するにはユーザーの操作が必要であり、被害者が細工されたウェブページを訪問しなければなりません。スコープが変更されました。

Adobe Experience Manager は、DOM ベースのクロスサイトスクリプティング（XSS）脆弱性の影響を受けています。攻撃者は、被害者のブラウザのコンテキスト内で悪意のあるJavaScriptを実行するために、DOM環境を操作してこの問題を悪用する可能性があります。この問題を悪用するには、被害者が細工されたウェブページを訪問するというユーザーの操作が必要です。影響範囲が変更されています。