脆弱性情報（JVN）検索・一覧

Discourseはオープンソースのディスカッションプラットフォームです。バージョン2025.12.2、2026.1.1、および2026.2.0より前のバージョンでは、TL4ユーザーが`publish_to_category`トピックタイマーを介してスタッフ専用カテゴリにトピックを公開でき、認可チェックを回避してしまう問題がありました。バージョン2025.12.2、2026.1.1、および2026.2.0でこの問題は修正されています。既知の回避策はありません。

Synology Active Backup for Businessのバージョン2.7.1-13234、2.7.1-23234、および2.7.1-3234より前の共有ファイルリスト機能におけるパス名制限の不備（パストラバーサル）により、管理者権限を持つ認証済みリモートユーザーが、特定の非機密情報を含むファイルを未指定の手段で読み取ることが可能となります。

qs（parseモジュール）の不適切な入力検証の脆弱性によりHTTP DoSが発生します。この問題はqsのバージョン6.14.1未満に影響します。概要として、qsのarrayLimitオプションは角括弧表記（a[]=1&a[]=2）には制限を適用せず、インデックス表記（a[0]=1）にのみ制限を適用していました。これは一貫性のバグであり、arrayLimitはすべての配列表記に均一に適用されるべきです。注意点として、デフォルトのparameterLimit（1000）が当初説明されたDoSシナリオを実質的に軽減します。デフォルトオプションでは、角括弧表記はarrayLimitに関わらずparameterLimitを超える配列を生成できません。これは各a[]=valueが1つのパラメータスロットを消費するためです。このため、深刻度は適宜軽減されています。詳細として、arrayLimitオプションはインデックス表記（a[0]=1&a[1]=2）にのみ制限をチェックし、角括弧表記（a[]=1&a[]=2）には適用していませんでした。脆弱なコード(lib/parse.js:159-162)は、if (root === '[]' && options.parseArrays) {obj = utils.combine([], leaf); // arrayLimitチェックなし}となっており、動作コード(lib/parse.js:175)はelse if (index = options.arrayLimit) {obj = []; obj[index] = leaf;}と記述されています。角括弧表記のハンドラ（159行目）はoptions.arrayLimitを検証せずにutils.combine([], leaf)を使用していますが、インデックス表記（175行目）はindex = options.arrayLimitをチェックしています。PoCは以下の通りです：const qs = require('qs'); const result = qs.parse('a[]=1&a[]=2&a[]=3&a[]=4&a[]=5&a[]=6', {arrayLimit: 5}); console.log(result.a.length); // 出力：6（最大5であるべき）。パラメータ制限の注意点として、元の勧告のDoSデモは長さ10,000と主張しましたが、parameterLimit（デフォルト1000）が解析パラメータを最大1,000に制限します。デフォルト設定の場合、実際の出力は10,000ではなく1,000になります。影響としては、arrayLimit適用の一貫性のバグであり、デフォルトのparameterLimitが既に解析パラメータ数（および角括弧表記からの配列要素数）を制限しているため、実際のDoSリスクはほとんどありません。リスクはparameterLimitを非常に高く設定した場合にのみ増加します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net/handshakeモジュールでは、送信失敗時にデストラクタを復元する処理が改善されました。handshake_req_submit() は sk-sk_destruct を置き換えますが、リクエストがハッシュ化される前に送信が失敗した場合、それを復元していませんでした。handshake_sk_destruct() は早期に戻り、元のデストラクタが実行されずにソケットがリークしていました。現在はエラーパスで sk_destruct を復元するように修正されています。

作成時から使用時までの時間差（TOCTOU）脆弱性により、最近削除されて再作成されたデータソースが権限なしに再度削除される可能性があります。この脆弱性を悪用するためには、非常に厳しい以下の条件が満たされなければなりません：- 攻撃者は最初の削除前に特定のデータソースに管理者アクセス権を持っていること。- 削除後、攻撃のすべてのステップは次の30秒以内かつ同じGrafanaのポッド上で行われなければならないこと。- 攻撃者はデータソースを削除し、その後誰かがそれを再作成する必要があること。- 新しいデータソースに攻撃者は管理者として含まれていないこと。- 新しいデータソースは以前のデータソースと同じUIDを持っていること。これらのUIDはデフォルトでランダム化されています。- 攻撃者はそのデータソースを再度削除できるようになります。- 30秒が経過すると攻撃の効果はなくなり、繰り返すことができなくなります。- その他のUIDを持つデータソースは攻撃対象になりません。

ZIA管理UIにおけるユーザー提供入力の不適切な検証により、認証された管理者は限定的なシナリオで特定の入力フィールドを通じてバックエンド機能を起動できます。

ZIA管理UI内のユーザーが提供する入力に含まれる特殊要素が適切に無害化されていないため、認証済み管理者がまれな条件下で不正に内部情報へアクセスしたり取得したりする可能性があります。

Linuxカーネルにおいて、次の脆弱性が修正されました。wifi: struct iw_pointからのカーネル情報漏洩を回避するための対策です。struct iw_pointには64ビットアーキテクチャで32ビットの隙間があります。struct iw_pointは次のとおりです。{void __user *pointer; /* データへのポインタ（ユーザースペース内） */ __u16 length; /* フィールド数またはバイト単位のサイズ */ __u16 flags; /* オプションのパラメータ */}。カーネルデータの32ビットがユーザースペースに漏れないように、構造体をゼロクリアすることを確実に行ってください。

BigBlueButtonはオープンソースのバーチャル教室です。バージョン3.0.19以下では、マイクがミュートされた状態で最初にセッションに参加すると、クライアントはミュート状態に関わらずサーバーに音声を送信します。サーバー側でメディアは破棄されるため、参加者には音声が聞こえませんが、悪意のあるサーバー運営者が音声データにアクセスする可能性があります。この動作は、会議に参加してからユーザーが最初にミュートを解除するまでの間のみ発生します。この問題はバージョン3.0.20で修正されました。

FastAPI Api Keyはバックエンドに依存しないAPIキーシステムを提供するライブラリです。バージョン1.1.0にはverify_key()にタイミングサイドチャネルの脆弱性があります。このメソッドは検証失敗時のみランダムな遅延を適用しており、攻撃者は応答遅延の測定によって有効なAPIキーと無効なAPIキーを統計的に区別できました。十分な回数の繰り返しリクエストにより、攻撃者はkey_idが有効なキーに対応しているかどうかを推測でき、ブルートフォース攻撃や列挙攻撃を加速させる可能性があります。修正前にverify_key()によるAPIキー認証を利用している全ユーザーが影響を受けます。ユーザーには修正を受けるためにバージョン1.1.0へのアップグレードを推奨します。修正では、結果に関わらず全ての応答に均一なランダム遅延（min_delayからmax_delay）を適用してタイミングの相関を排除します。いくつかの回避策も利用可能です。修正が適用される前には成功・失敗の全ての認証応答に対してアプリケーションレベルで固定遅延またはランダムジッターを追加するか、統計的タイミング攻撃の実行可能性を低減するためにレート制限を使用してください。

Talisharは、ファンが作成したFlesh and Bloodのプロジェクトです。コミット6be3871a14c192d1fb8146cdbc76f29f27c1cf48以前のTalisharアプリケーションには、特に`SubmitChat.php`および他のゲームインタラクションハンドラ内の重要な状態変更エンドポイントにおいて、クロスサイトリクエストフォージェリ（CSRF）防御が欠如していました。ユニークで予測不可能なセッショントークンを要求しなかったため、このアプリケーションでは認証済みユーザーに代わって悪意のある第三者のウェブサイトがリクエストを偽造でき、アクティブなゲームセッション内で不正な操作を引き起こす恐れがありました。攻撃者は適切なgameNameとplayerIDの両方を知っている必要があります。また、プレイヤーはゲームをプレイ中に感染したウェブサイトを閲覧および操作している必要があります。この脆弱性はコミット6be3871a14c192d1fb8146cdbc76f29f27c1cf48で修正されました。

Dell Wyse Management SuiteのWMS 5.5以前のバージョンには、サーバー側のセキュリティにおけるクライアント側強制に関する脆弱性があります。リモートアクセス権限を持つ高度な特権攻撃者がこの脆弱性を悪用すると、保護メカニズムを回避する可能性があります。

JetBrains TeamCity 2025.11.3より前のバージョンでは、バージョン管理された設定を無効にすると、資格情報の設定がディスク上に残る問題があります。

OrientDB 3.0.17 GA Community Editionにはクロスサイトリクエストフォージェリの脆弱性が存在し、攻撃者が悪意のあるリクエストを/database/、/command/、/document/などのエンドポイントに送信して不正な操作を実行可能です。攻撃者はトークン検証なしで認証済みリクエストを送信できるため、データベースの作成や削除、スキーマクラスの変更、ユーザー管理、関数の作成を行うことができます。これらの脆弱性は、ウェブインターフェースの反射型および保存型クロスサイトスクリプティングの脆弱性と組み合わさっています。

phpgurukul Gym Management System 1.0には、クロスサイトリクエストフォージェリ（CSRF）脆弱性が存在します。この問題は、ユーザーパネルのプロフィール更新機能、具体的には/profile.phpエンドポイントにあります。

IBM Jazz Reporting Service はリソースプーリングが不十分であるため、ネットワーク上の認証済みユーザーが複雑なクエリを使用するとシステムのパフォーマンスに影響を与える可能性があります。

IBM Jazz Reporting Serviceでは、ホストネットワーク上の認証済みユーザーが、サーバー上に存在する他のプロジェクトに関する機密情報を取得できる可能性があります。

Mattermostのバージョン10.11.xのうち10.11.9以下では、データ取得時にチャネルメンバーシップの適切な検証が行われません。そのため、無効化されたユーザーがレースコンディションを悪用して、アクセス権のないチーム名をcommon_teams APIエンドポイントから取得できる脆弱性が存在します。

Cesanta Mongoose バージョン7.20までに脆弱性が確認されています。影響を受ける要素は、コンポーネントDNS Transaction ID Handlerのファイル /src/dns.c の関数 mg_sendnsreq です。引数randomの操作を実行すると、十分にランダムでない値が発生する可能性があります。この攻撃はリモートから実行可能であり、高度な複雑性を必要とします。攻撃の実行は困難だと見なされています。エクスプロイトが公開されており、攻撃に利用される可能性があります。ベンダーには早期にこの情報が連絡されましたが、いかなる対応もされませんでした。

Cesanta Mongooseのバージョン7.20までにセキュリティ脆弱性が検出されました。この脆弱性は、コンポーネントTCPシーケンスナンバーハンドラのファイル/src/net_builtin.cにある関数getpeerに影響を与えます。この問題により、通信チャネルの送信元が不適切に検証されてしまいます。攻撃はリモートで開始される可能性があります。攻撃の難易度は高いと評価されており、悪用が困難であると報告されています。悪用コードは公開されており、実際に使用される可能性があります。ベンダーには早期にこの情報を連絡しましたが、対応は行われていません。

Cesanta Mongoose 7.20までに脆弱性が検出されました。この脆弱性は、コンポーネントPoly1305認証タグハンドラーのファイル/src/tls_chacha20.c内の関数mg_chacha20_poly1305_decryptに影響を及ぼします。この脆弱性により暗号署名の不適切な検証が発生します。攻撃はリモートから実行される可能性があります。この攻撃は高度な複雑性を特徴としており、悪用の困難度は高いとされています。現在、この脆弱性のエクスプロイトが公開されており、利用される可能性があります。ベンダーには本開示について早期に連絡がありましたが、いかなる対応も行われていません。

IBM watsonx.data 2.2 から 2.2.1 までの IBM Lakehouse には、特権ユーザーが悪意のあるファイルをアップロードし、そのファイルがサーバー上で実行されて制限されたファイルやデータを変更できる脆弱性があります。

HCL Connectionsには情報漏洩の脆弱性があります。非常に特定のユーザーのナビゲーションシナリオにおいて、ブラウザに内部メタデータの一部が返されるため、ユーザーが限定的な情報を取得できる可能性があります。

Winterは、Laravel PHPフレームワークに基づく無料のオープンソースコンテンツ管理システム（CMS）です。バージョン1.2.10より前のWinter CMSには、CMSアセットマネージャーにアクセスできるユーザーが自動サニタイズなしでSVGをアップロードできる問題がありました。このセキュリティ問題を悪用するには、cms.manage_assets権限を持つユーザーアカウントでバックエンドにアクセスする必要があります。Winter CMSのメンテナは、cms.manage_assets権限を信頼できる管理者や開発者のみに付与することを強く推奨しています。この脆弱性はバージョン1.2.10で修正されています。

Cosignはコンテナおよびバイナリのコード署名と透明性を提供します。バージョン3.0.4およびそれ以前では、有効期限がリーフ証明書よりも前に切れる発行証明書が、提供されたタイムスタンプが発行証明書を期限切れとみなすべき場合でも、検証時に有効と見なされてしまう問題がありました。証明書を使用してアーティファクトの署名を検証する際、Cosignはまずリーフ証明書の「not before」タイムスタンプを使って証明書チェーンを検証し、その後Rekor透明性ログから提供された署名付きタイムスタンプやタイムスタンプ機関からのタイムスタンプ、または現在時刻を使ってリーフ証明書の有効期限をチェックします。ルート証明書およびすべての発行証明書はリーフ証明書の有効期間中は有効と見なされます。この問題はパブリックなSigstoreインフラのユーザーには影響しませんが、カスタマイズされたPKIを使ったプライベート導入環境には影響を与える可能性があります。この問題はバージョン3.0.5で修正されました。

WagtailはDjango上に構築されたオープンソースのコンテンツ管理システムです。バージョン6.3.6、7.0.4、7.1.3、7.2.2、および7.3より前のバージョンにおいて、プレビューエンドポイントでの権限チェックが欠如していました。そのため、Wagtail管理画面へのアクセス権を持ち、モデルのフィールドを知っているユーザーがフォーム送信を作成すると、プレビューが有効な任意のページ、スニペット、またはサイト設定オブジェクトのプレビュー表示を取得でき、その際にユーザーが選択した任意のデータを含めることが可能でした。対象オブジェクトの既存データ自体は公開されませんが、レンダリングされるテンプレートの性質によっては、通常はモデルの編集権限を持つユーザーのみがアクセスできるその他のデータベース内容が露出する可能性があります。この脆弱性はWagtail管理画面へのアクセス権を持たない一般のサイト訪問者によっては悪用できません。この問題はバージョン6.3.6、7.0.4、7.1.3、7.2.2、および7.3で修正されています。

OpenClawはパーソナルAIアシスタントです。バージョン2026.2.15以前では、`src/agents/sandbox/config-hash.ts`内の`normalizeForHash`関数が、プリミティブ値のみを含む配列を再帰的にソートしていました。これにより、順序に依存するサンドボックス設定配列が、順序が変わっても同じハッシュ値となっていました。OpenClawのサンドボックスフローでは、このハッシュを既存のサンドボックスコンテナを再作成するかどうかの判断に使用しています。その結果、順序のみの設定変更（例えばDockerの`dns`や`binds`配列の順序）が変更なしとみなされ、古いコンテナが再利用される可能性がありました。これはサンドボックスの再作成動作に影響する設定の整合性に問題があったためです。バージョン2026.2.15以降では、ハッシュ正規化時に配列の順序は保持され、決定的なハッシュを得るためにオブジェクトのキー順序のみが正規化されるようになりました。

Halo 2.21.10までのバージョンに脆弱性が判明しました。この問題は、Configuration Handlerコンポーネントの/actuatorファイルにおける不適切な処理に影響を与えます。操作を実行することで情報漏洩が発生する可能性があります。この攻撃はリモートから実行可能です。攻撃の難易度は高く評価されています。悪用は困難とされていますが、エクスプロイトが公に公開されており、悪用される可能性があります。ベンダーには早期に連絡がありましたが、対応はなされませんでした。

ChaiScript 6.1.0までに脆弱性が検出されました。影響を受ける要素は、ファイルinclude/chaiscript/chaiscript_defines.hpp内の関数chaiscript::str_less::operatorです。この操作によりuse after freeが発生します。攻撃はローカルアプローチを必要とし、攻撃の難易度は高いとされています。悪用は困難と見なされていますが、エクスプロイトは既に公開されており、利用される可能性があります。問題は早期にissueレポートを通じてプロジェクトに通知されましたが、現在まで対応されていません。

ChaiScript 6.1.0までに脆弱性が発見されました。この脆弱性は、ファイル include/chaiscript/dispatchkit/type_info.hpp の関数 chaiscript::Type_Info::bare_equal に影響を及ぼします。この脆弱性により use after free が引き起こされます。攻撃にはローカルアクセスが必要です。攻撃の難易度は高いと評価されており、悪用は困難であると報告されています。悪用コードは公開されており、実際に利用される可能性があります。問題は早期に報告されプロジェクト側に通知されましたが、まだ対応されていません。

IBM PowerVM ハイパーバイザ FW1110.00 から FW1110.03、FW1060.00 から FW1060.51、および FW950.00 から FW950.F0 には、特定の共有プロセッサ構成における特定の操作中にピアパーティションに限定的なデータが露出する可能性があります。

特定の条件下で、悪意のあるウェブページが2回連続のタップの後にオートフィルの自動入力をトリガーする可能性があり、明確または意図的なユーザーの同意なしにこれが発生することがあります。これにより、住所、電子メール、電話番号のメタデータなどの保存されたオートフィルデータが漏洩してしまう可能性があります。

OpenClaw（旧称Clawdbot）は、ユーザーが自分のデバイス上で実行するパーソナルAIアシスタントです。バージョン2026.2.2以下では、Slack連携が有効になっている場合、チャンネルのメタデータ（トピックや説明）がモデルのシステムプロンプトに組み込まれる可能性がありました。プロンプトインジェクションはLLM駆動システムにおける既知のリスクです。本問題は、信頼されていないSlackチャンネルのメタデータをより高信頼のシステム入力として扱うことを許し、インジェクションの攻撃面を拡大させました。この問題はバージョン2026.2.3で修正されています。

DDNS機能は、デバイスのWAN IPアドレスを外部サーバーに問い合わせる際に、安全でないHTTP接続を使用したり、SSL/TLS証明書の検証に失敗したりします。認証されていないリモート攻撃者は、Man-in-the-Middle（MitM）攻撃を実行して応答を偽装し、デバイスが誤ったIPアドレスでDDNSレコードを更新する可能性があります。影響を受ける製品とバージョンには、ADM 4.1.0からADM 4.3.3.ROF1、およびADM 5.0.0からADM 5.1.1.RCI1が含まれます。

Gogsはオープンソースのセルフホスト型Gitサービスです。バージョン0.13.4以下では、DeleteComment APIがコメントがURLで指定されたリポジトリに属しているかどうかを検証しません。これにより、リポジトリ管理者は任意のコメントIDを指定して認可制御を回避し、他のリポジトリのコメントを削除できます。DeleteComment関数はリポジトリ所有権を検証せずにIDでコメントを取得し、Database関数DeleteCommentByIDもリポジトリの検証を行いませんでした。この問題はバージョン0.14.0で修正されました。

Wing FTP Serverのバージョン6.2.7以前には、Web管理インターフェースにクロスサイトリクエストフォージェリ（CSRF）の脆弱性が存在し、攻撃者が管理者ユーザーを削除できる可能性があります。攻撃者は適切な認証なしに管理者ユーザーアカウントを削除するリクエストを送信する隠しフォームを含む悪意のあるHTMLページを作成できます。

Mattermost バージョン 10.11.x から 10.11.9 までには、チーム設定の更新時に招待権限が適切に強制されない問題があります。そのため、適切な権限を持たないチーム管理者が制限を回避して、API リクエスト経由でユーザーをチームに追加することができます。

Hiawathaウェブサーバー バージョン11.7において、`strcmp`の使用に起因するTomahawk認証タイミング攻撃が特定されました。これにより、ローカル攻撃者が管理クライアントにアクセスできる可能性があります。

AzuraCastはセルフホスト型のオールインワンWebラジオ管理スイートです。バージョン0.23.1では、SFTPソフトウェアsftpgoの内部使用を目的としたAPIエンドポイントが誤って含まれており、AzuraCastインストールの公開HTTP APIに露出していました。特定のステーションの運用に関する内部知識を持つユーザーは、カスタムHTTPリクエストを作成してステーションのデータベース内容に影響を与えることができましたが、ステーションの内部情報を明かしませんでした。この攻撃を行うには、有効なSFTPステーションのユーザー名と対応する内部ファイルシステム構造を知っている必要があります。この問題はバージョン0.23.2で修正されました。

入力検証の問題が対処されました。この問題はiOS 26.3およびiPadOS 26.3で修正されました。物理的にiOSデバイスにアクセスできる人物が、ロック画面から写真にアクセスできる可能性があります。