脆弱性情報（JVN）検索・一覧

Google ChromeのAndroid版149.0.7827.201より前のバージョンにはPaymentsのUse after freeの脆弱性が存在し、ローカル攻撃者がデバイスへの物理的アクセスを通じてヒープ破損を悪用できる可能性がありました。

GitLabは、GitLab CE/EEのバージョン14.8から18.11.6未満、19.0から19.0.3未満、および19.1から19.1.1未満のすべてのバージョンに影響する問題を修正しました。この問題によって、特定の条件下で認証されたユーザーが不適切な入力検証のためにスニペット内のコンテンツを隠蔽できる可能性がありました。

GitLabは、GitLab CE/EEのすべてのバージョン（17.5から18.11.6未満、19.0から19.0.3未満、および19.1から19.1.1未満）に影響する問題を修正しました。この問題により、特定の条件下で認証されていないユーザーが不適切な認可チェックのために公開プロジェクト上の機密の問題参照を閲覧できる可能性がありました。

特定のスレッドにシグナルを送るために使用される際、thr_kill2(2)はp_cansignal()を呼び出して操作が許可されているかどうかを判断していましたが、シグナルを送る前にその結果を確認していませんでした。許可チェックに失敗してもシグナルは送信されていました。システムコールは結果のエラーを呼び出し元に返していましたが、その時点でシグナルは既に送信済みでした。このチェック漏れにより、ターゲットのプロセスIDとスレッドIDを知っているか推測できる未特権のローカルユーザーが、本来シグナルを送る許可がないプロセス（他のユーザーやrootが所有するプロセスを含む）に任意のシグナルを送信できてしまいます。同じチェックはjailの境界も強制しているため、jail内のプロセスがホストや他のjailのプロセスにシグナルを送ることが可能になります。スレッドIDはグローバルかつ連続的に割り当てられているため、ターゲットの可視性なしにブルートフォースで発見できます。攻撃者は任意のプロセス（重要なシステムデーモンを含む）を停止または終了させられるため、サービス拒否（DoS）を引き起こす可能性があります。

jqはコマンドラインのJSONプロセッサです。バージョン1.8.2以前では、十分に深くネストされた2つの配列を==演算子で比較すると、jqの通常のコマンドライン操作中にCスタックが枯渇し、制御されていない再帰によるスタック枯渇でサービス拒否が発生します。クラッシュはjqの再帰的な構造比較コードで発生し、深くネストされた配列を比較する際にsrc/jv.cのjvp_array_equal()およびjv_equal()を通じて再帰が繰り返されます。また、再帰ガードが欠如しているため、src/jv_aux.cのjv_cmp()を経由する近接したソート比較パスでも、より深いネストの深度でスタックオーバーフローが発生します。攻撃者が制御する深くネストされたJSON値に対してjqで比較を実行する場合、または信頼できないデータが==比較パスに到達可能な環境にjqを埋め込んでいる場合、本脆弱性の影響を受けます。この脆弱性はバージョン1.8.2で修正されました。

Node.jsのTLSホスト名処理における欠陥により、Node.jsのユニコードドットセパレーターの処理が解決および検証時にホスト名の正規化が一致しない問題が発生し、それによってTLSワイルドカード認証の深度制限がバイパスされる可能性があります。これにより、影響を受ける設定の場合に機密性への影響や意図されたセキュリティ境界のバイパスが起こる可能性があります。この脆弱性は、すべてのサポートされているリリースライン、すなわち**Node.js 22**、**Node.js 24**、および**Node.js 26**に影響します。

Node.jsのホスト名マッチングにおける不整合により、マルチコンテキストのmTLS設定で信頼ポリシーをバイパスされる可能性があります。この脆弱性はサポートされているすべてのリリースライン、すなわち**Node.js 22**、**Node.js 24**、および**Node.js 26**に影響を及ぼします。

Node.jsのTLSホスト検証に欠陥があり、攻撃者が証明書の検証を回避できる可能性があります。この脆弱性はサポートされているすべてのリリースライン、すなわち**Node.js 22**、**Node.js 24**、および**Node.js 26**に影響を与えます。

K2フロントエンドの`item.checkin`タスクは、認証されていない`sigProFolder`クエリパラメータを受け入れ、それを直接使用して`/media/k2/galleries/`以下の`JFolder::delete()`を呼び出します。

K2 バージョン 2.26 以下では、`#__k2_users.image` カラムが 2 つの異なるテンプレートを通じて直接 HTML の `src` 属性にレンダリングされており、いずれの場合も HTML エスケープが行われていません。これはセキュリティ上の問題となります。

K2 バージョン2.24以下には、K2システムユーザープラグイン「plg_user_k2」にマスアサインメントの脆弱性があります。登録済みのJoomlaユーザーは、標準の「com_users」の「profile.save」POSTリクエストにフィールド「K2UserForm=1」を含めることで、自身の「#__k2_users」テーブルの「notes」、「image」、および「plugins」カラムに任意の値を書き込むことが可能です。これらのフィールドはすべてK2のフロントエンドのプロフィール編集フォームに表示されません。

K2のフロントエンド記事保存ハンドラーは`attachment[N][existing]`というPOSTフィールドを受け取ります。このフィールドは`JPATH_SITE/`と連結されて`JFile::copy()`に渡されます。`JPath::clean`は`..`を除去せず、ソースパスの許可リストも存在しません。そのため、投稿者は`configuration.php`（またはウェブユーザーが読み取り可能な任意のファイル、例：`../../../etc/passwd`）を`/media/k2/attachments/`にコピーし、その後K2の添付ファイルダウンロードエンドポイントを通じて内容を取得できます。

K2のアーティクルギャラリーのアップロードパスはzipやtarアーカイブを受け入れ、`/media/k2/galleries/id/`の下に展開します。ただし、画像ファイル（gif/jpg/jpeg/png/webp）のみ安全な名前にリネームします。非画像ファイル（.phpを含む）はそのまま展開され、直接HTTPアクセスによって実行される可能性があります。

K2フロントエンドの記事添付ファイルのアップロードパスは、拡張子が`.php`のファイルを受け入れます。Apacheの標準mod_phpは`\.php$`にマッチし、これらのファイルをK2ウェブユーザーの権限で実行します。K2の著者は`shell.php`をアップロードし、その後`/media/k2/attachments/shell.php`にアクセスして、ウェブサーバーのコンテキストで任意のPHPコードを実行できます。

GitLabは、GitLab EEのバージョン18.6から18.11.6未満、19.0から19.0.3未満、および19.1から19.1.1未満のすべてのバージョンに影響を与える問題を修正しました。この問題により、特定の条件下で認証済みユーザーが別のグループの仮想レジストリクリーンアップポリシー設定を無断で読み取りまたは変更できてしまいました。

LibreChatは複数のAIプロバイダーをサポートする強化されたChatGPTクローンです。0.8.4-rc1以前のバージョンでは、POST /api/files/imagesエンドポイントが認証された任意のユーザーに対して、対象エージェントのtool_resources（例：context、execute_code）に対する所有権や編集権限の確認を行わずにファイルをアップロードすることを許可していました。以前のパッチでPOST /api/filesルートには権限チェックが追加されましたが、画像アップロードルートには同じチェックが適用されていませんでした。攻撃者はファイルエンドポイントの代わりに画像エンドポイントを使用することで、認可を完全に回避できます。この脆弱性は0.8.4-rc1で修正されました。

Trivyはセキュリティスキャナーです。バージョン0.71.0以前のTrivyでは、Helmチャートのアーカイブファイル（.tgz）をスキャンする際に、独自のtar解凍機能がio.ReadAll(tr)を使用してエントリをサイズ制限なく読み取っていました。悪意のある.tgzファイルをスキャン対象のパスに配置できる攻撃者は、小さな圧縮アーカイブを作成し、展開時にギガバイト単位の大容量に膨らませることが可能です。その結果、TrivyプロセスがOSのOOMキラーによって強制終了される可能性があります。この脆弱性はバージョン0.71.0で修正されています。

jqはコマンドラインのJSONプロセッサです。バージョン1.8.2以前の32ビットシステムにおいて、jvp_string_append関数で整数の乗算オーバーフローが発生する可能性があり、大規模なバッファオーバーランを引き起こす恐れがありました。この脆弱性はバージョン1.8.2で修正されました。

PodmanはOCIコンテナおよびポッドを管理するためのツールです。バージョン3.0.0から5.7.1までの間、WORKDIRパスにシンボリックリンクが含まれている悪意のあるコンテナイメージを実行すると、ホストファイルシステム上にディレクトリを作成したり所有権を変更したりする可能性があります。所有権の変更は、WORKDIRパスの参照中にホストファイルシステムツリーを変更する信頼できないまたは悪意のあるプロセスの支援が必要なため、発生する可能性は低いです。この脆弱性はバージョン5.7.1で修正されました。

Vimはオープンソースのコマンドラインテキストエディタです。9.2.0662以前のバージョンでは、src/spell.c内のdump_prefixes()関数が、単語に適用されるプレフィックスをダンプする際に深さカウンタを使ってスペルファイルのプレフィックスTrieを反復的に走査します。このカウンタはTrie構造自体によってのみ制限されており、インデックスとして使用される固定長のMAXWLEN要素のスタック配列（prefix[]、arridx[]、curi[]）のサイズと比較されることはありません。細工された.splファイルがユーザーによって単語リストをダンプする際に読み込まれると、この関数は深さを任意に深く潜ることができ、その結果これらの配列の範囲外に書き込みを行います。これはスタックの境界外書き込みであり、呼び出しフレームを破壊してエディタをクラッシュさせます。この脆弱性は9.2.0662で修正されました。

Crawl4AIのバージョン0.8.7未満には、認証を回避できる脆弱性がmonitorルーターのエンドポイントに存在しており、認証されていない攻撃者が破壊的な操作にアクセスできます。リモートの攻撃者は/monitor/actions/cleanupエンドポイントを呼び出して認証なしで監視状態を操作し、サービスの中断を引き起こす可能性があります。

Flowiseの3.1.0より前のバージョン（npmパッケージflowise、バージョン3.0.13以前）では、環境変数TOKEN_HASH_SECRETが設定されていない場合に、packages/server/src/enterprise/utils/tempTokenUtils.ts内で弱いハードコードされたデフォルト値「Secre$t」を使用しています。このシークレットは、JWTトークンの「meta」フィールドにあるユーザーIDおよびワークスペースIDを暗号化するためのAES-256-CBCキーを導出します。デフォルトのシークレットを知っている攻撃者は、このメタデータを復号し、内部のユーザーおよびワークスペースの識別子を抽出し、改ざんされたユーザーやワークスペースIDなどの値に再暗号化することが可能です。JWTの署名は別途検証されるため、このメタデータの復号や改ざん自体がアクセス権限を付与するわけではありませんが、内部識別子の漏洩やメタデータの改ざんは権限昇格や不正なデータアクセスを助長する可能性があります。

Flowiseのバージョン3.0.13以前では、bcryptがデフォルトのソルトラウンド5で使用されており、OWASPが推奨する最低10ラウンドに比べてわずか32回の反復回数しか提供していません。攻撃者は最新のGPUハードウェアを使用することで、パスワードハッシュを約30倍高速に解読できるため、データベースが侵害された場合にはすべてのユーザーアカウントが危険にさらされます。

n8nのバージョン1.123.25（1.x系）以前および2.11.2（2.x系）以前には、2.12.0で修正が行われたForm TriggerノードのCSSサニタイズに関する保存型クロスサイトスクリプティング（XSS）脆弱性が存在します。この脆弱性により認証済みユーザーが悪意のあるスクリプトを注入可能です。ワークフロー作成権限を持つ攻撃者はXSSペイロードを注入でき、これによりすべてのフォーム訪問者に対して永続的にスクリプトが実行され、フォームの乗っ取りやフィッシング攻撃が可能になります。

hono 4.12.14以前には、jsxサーバーサイドレンダリングにおいてHTMLインジェクションの脆弱性が存在しており、攻撃者が不正な属性名を使用することで意図しないHTMLを注入することが可能でした。攻撃者は、引用符や山括弧のような文字を含む特別に細工された属性キーを作成し、HTMLタグの境界を破って任意の属性や要素を注入できます。

Jenkins Git client Plugin 6.6.0 およびそれ以前のバージョンでは、生成された SSH ラッパースクリプトに埋め込まれる際にワークスペースディレクトリ名が正しくエスケープされません。そのため、ビルドの作業ディレクトリ名を制御できる攻撃者がエージェント上で任意のオペレーティングシステムコマンドを実行する可能性があります。

Jenkins Pipeline: Groovy Plugin 4331.v9d06ed4658ffおよびそれ以前のバージョンにはクロスサイトリクエストフォージェリ（CSRF）の脆弱性があり、攻撃者はPipelineスニペットジェネレーターを通じて、Pipelineステップ以外のジョブやシステム設定に関連する型をインスタンス化できる可能性があります。

Jenkins PipelineのGroovyプラグイン4331.v9d06ed4658ffおよびそれ以前のバージョンには、Pipelineスニペットジェネレーターを通じてインスタンス化できるタイプを制限していない脆弱性があります。そのため、攻撃者がPipelineステップ以外のジョブやシステム構成に関連するタイプをインスタンス化できる可能性があります。

Jenkins GitHub Branch Source Plugin バージョン1967.1969.v205fd594c821およびそれ以前のバージョンにおいて、権限チェックが不足しているため、Overall/Read権限を持つ攻撃者がグローバルプラグイン設定に構成されたGitHub EnterpriseサーバーのURLを取得できる問題があります。

Jenkins Git Parameter Plugin バージョン462.vdcf3df2ed2ca_およびそれ以前のバージョンにおいて、権限チェックが欠如しているため、Item/Read権限を持つ攻撃者がジョブで使用されるSCMリポジトリに関する情報（ブランチ名、タグ名、リビジョンのメタデータなど）を取得する可能性があります。

Jenkinsジョブ構成履歴プラグイン1356.ve360da_6c523a_およびそれ以前のバージョンでは、履歴のジョブおよびエージェント構成を表示する際にシークレットの暗号化された値が非表示になりません。これにより、拡張読み取り権限を持つ攻撃者が通常は非表示にされる暗号化されたシークレット値を閲覧できる可能性があります。

Jenkins Bitbucket Push and Pull Request Plugin バージョン3.3.8以下では、Bearerトークン認証されたリクエストを送信する際に、設定されたBitbucketサーバーエンドポイントへの接続でSSL/TLS証明書およびホスト名の検証を無条件に無効化してしまいます。そのため、ネットワークトラフィックを傍受できる攻撃者がトークンを取得する可能性があります。

Jenkins Contrast Continuous Application Security Plugin バージョン3.11およびそれ以前のバージョンには、パーミッションチェックが欠如しているため、Overall/Read権限を持つ攻撃者が攻撃者指定のユーザー名、APIキー、およびサービスキーを使用して攻撃者指定のURLに接続できる脆弱性が存在します。

Jenkins Contrast Continuous Application Security Plugin 3.11およびそれ以前のバージョンには、権限チェックが不足しているため、OverallまたはRead権限を持つ攻撃者が設定されているContrastメタデータの名前を列挙できてしまう問題があります。

Jenkins MCP Server Plugin 0.177.v629fdb_2557fe およびそれ以前のバージョンには権限チェックの欠如があり、その結果、Item/Read 権限を持つ攻撃者がアクセス可能なジョブのパイプラインリプレイスクリプトを読み取ることが可能となります。

Jenkins FitNesse Plugin 1.36以前のバージョンでは、ジョブのconfig.xmlファイル内にパスワードを暗号化せずに保存します。これらのファイルはJenkinsコントローラー上にあり、Extended Read権限を持つユーザーやJenkinsコントローラーのファイルシステムにアクセスできるユーザーが閲覧できます。

Vimはオープンソースのコマンドラインテキストエディタです。バージョン9.2.0670より前のsrc/textprop.c内のget_text_props()関数は、行のテキストの直後にインラインで格納されたuint16のプロパティ数を読み取り、その数を続く32バイトのtextprop_Tエントリの数として返します。唯一のチェックは最低1エントリ分のスペースを保証するものであり、実際に存在するデータ量と比較してカウントが検証されることはありません。大量のカウントを宣言しつつ実際にはわずかなデータしか持たない行は、消費者が行バッファの末尾を大幅に越えて読み込んでしまう原因となります。このような行は細工されたundoファイルを通じて提供される可能性があり、クラッシュを引き起こします。この脆弱性はバージョン9.2.0670で修正されました。

Vimはオープンソースのコマンドラインテキストエディタです。バージョン9.2.0671以前のVimでは、VimCrypt~04!またはVimCrypt~05!方式（xchacha20poly1305、+sodium機能が必要）で暗号化されたファイルを開く際に、ファイルの本文がlibsodiumのsecretstreamヘッダー1つ分よりも短い場合、符号なしの長さ計算でアンダーフローが発生します。その結果、復号処理が入力バッファの終わりを大幅に超えて読み取ってしまい、Vimがクラッシュする原因となります。この脆弱性はバージョン9.2.0671で修正されました。

Vimはオープンソースのコマンドラインテキストエディタです。バージョン9.2.0320から9.2.0679までの間に、細工されたundoファイルまたはswapファイルが、オフセットと長さが行のプロパティデータの範囲外を指す仮想テキストプロパティを保存する可能性があります。Vimはそのような行を復元または表示する際に、オフセットをポインタに変換し、境界チェックを行わずに仮想テキストを読み取るため、境界外読み取りが発生し、Vimがクラッシュしたり隣接するヒープメモリの情報が漏洩したりする可能性があります。この脆弱性はバージョン9.2.0679で修正されました。

wolfSSL_OCSP_resp_find_statusにおけるOCSP CertIDのシリアル番号長の混乱により、発行者が同じでシリアル番号が対象シリアルの接頭辞であるSingleResponseが、異なる証明書の取り消し状態として報告される可能性がありました。検索はシリアル番号のバイトを比較する際に、最初に両方のシリアル番号の長さが等しいことを要求していなかったため、発行者が同じでシリアル番号が対象の接頭辞であるSingleResponseが一致し、誤った証明書の状態を返していました。修正では、シリアルのバイトを比較する前にシリアルの長さが等しいことを要求するようにしています。