脆弱性情報（JVN）検索・一覧

Quest NetVault Backup NVBULibrarySlot におけるSQLインジェクションを利用したリモートコード実行の脆弱性です。この脆弱性により、リモートの攻撃者が影響を受けるQuest NetVault Backupのインストール環境で任意のコードを実行可能となります。攻撃には認証が必要ですが、既存の認証機構を回避することが可能です。特定の問題はNVBULibrarySlotのJSON-RPCメッセージの処理に存在し、ユーザーから提供された文字列をSQLクエリの構築に使用する前に適切な検証が行われていません。攻撃者はこの脆弱性を利用してNETWORK SERVICEのコンテキストでコードを実行できます。これは以前、ZDI-CAN-27630として報告されていました。

Quest NetVault Backup の NVBUDashboard における SQL インジェクションを介したリモートコード実行の脆弱性です。この脆弱性により、リモートの攻撃者が影響を受ける Quest NetVault Backup のインストール環境で任意のコードを実行できます。悪用には認証が必要ですが、既存の認証機構は回避が可能です。具体的な欠陥は NVBUDashboard の JSON-RPC メッセージ処理部分に存在し、この問題は SQL クエリを構築する前にユーザーから提供された文字列が適切に検証されていないことに起因しています。攻撃者はこの脆弱性を利用して NETWORK SERVICE の権限でコードを実行することが可能です。なお、この脆弱性は以前 ZDI-CAN-27626 として識別されていました。

Quest NetVault Backup の NVBULogDaemon にコマンドインジェクションによるリモートコード実行の脆弱性があります。この脆弱性により、リモートの攻撃者が影響を受ける Quest NetVault Backup のインストール環境で任意のコードを実行できます。認証は必要ですが、既存の認証機構はバイパス可能です。特定の欠陥は NVBULogDaemon の JSON-RPC メッセージの処理に存在します。この問題は、システムコールを実行する前にユーザーから提供された文字列の適切な検証が行われていないことに起因しています。攻撃者はこの脆弱性を利用して SYSTEM 権限のコンテキストでコードを実行することが可能です。元の識別子は ZDI-CAN-27625 です。

日本電気株式会社が提供するExpressUpdate Agent for Windowsは、同社製サーバ製品の更新管理エージェントです。 ExpressUpdate Agent for Windowsには、次の脆弱性が存在します。 ・IOCTLに対するアクセス制御不備（CWE-782) - CVE-2026-8797 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。 報告者：株式会社ラック 飯田 雅裕 氏

EmberZNet v9.0.2以前のバージョンにおいて、不正なOTAリクエストがOTAサーバーパーサを境界外読み取りの状態に陥らせる可能性があります。RAMから限られた量のデータがリクエスターに読み戻されます。このデータのサイズと位置は制限されています。これらのリクエストは、すでにネットワークに参加しているデバイスから送信されなければなりません。OTAサーバークラスターをサポートするデバイスのみが影響を受ける可能性があります。

EmberZNet v9.0.2以前のバージョンにおいて、形式が不正なIASゾーン登録メッセージは境界外のステートテーブルへの書き込みを引き起こし、プロセスを終了させる可能性があります。この書き込みのサイズと場所には制限があります。これらのメッセージは、すでにネットワークに参加しているデバイスから送信されなければなりません。IASゾーンクラスターをサポートするデバイスのみが影響を受ける可能性があります。

EmberZNet v9.0.2以前のバージョンにおいて、不正な形式のClearWeekdayScheduleメッセージがドアロックスケジュールの状態に対して境界外書き込みを引き起こす可能性があります。このデータのサイズおよび位置は制限されています。これらのメッセージはすでにネットワークに参加しているデバイスから送信されなければなりません。ドアロッククラスタをサポートしているデバイスのみが影響を受けます。

MessagePack for C# は C# 用の MessagePack シリアライザです。バージョン 2.5.301 および 3.1.7 より前のバージョンには、MessagePack の圧縮モードである Lz4Block と Lz4BlockArray で使用されるオプションの LZ4 解凍パスに脆弱性があります。デコーダ実装は、ソース長の境界を考慮しない非推奨の高速解凍アルゴリズムに基づいています。リモートの攻撃者は、LZ4 のトークンや長さフィールドを改ざんした細工された MessagePack ペイロードを送信することで、圧縮入力バッファからの境界外読み取りを強制できます。影響を受ける環境では、解凍中に AccessViolationException が発生し、プロセスが終了してサービス拒否となる可能性があります。場合によっては、失敗前に読み過ぎたデータから限定的な意図しないメモリ情報が漏洩することもあります。この脆弱性はバージョン 2.5.301 および 3.1.7 で修正されています。

MessagePack for C#はC#向けのMessagePackシリアライザです。バージョン2.5.301および3.1.7より前のバージョンでは、MessagePackReader.ReadDateTime()が攻撃者が操作可能なMessagePack拡張の長さに基づいてスタックメモリを割り当てることがありました。タイムスタンプ拡張の解析におけるスローパス処理では、計算されたtokenSizeにワイヤ上の拡張ボディの長さが含まれており、有効なタイムスタンプサイズの1つとして拡張長が検証される前に、stackalloc操作で使用されます。非常に小さなペイロードが大きなタイムスタンプ拡張ボディを主張し、キャッチ不可能なStackOverflowExceptionを引き起こすほどの大きなスタック割り当てが発生し、それによりホストプロセスが終了する可能性があります。この脆弱性はバージョン2.5.301および3.1.7で修正されています。

C#向けのMessagePackはC#用のMessagePackシリアライザです。バージョン2.5.301および3.1.7以前のMessagePackReader.TrySkip()は、入れ子になった配列やマップに再帰的に降りていきますが、リーダーの深さを増加させたり設定された深さチェックを呼び出したりしません。このため、深く入れ子になったオブジェクトグラフに対してライブラリの保護機能であるMessagePackSecurity.MaximumObjectGraphDepthが回避されてしまいます。多くの生成された動的フォーマッタは、未知のマップキー、未知の配列メンバー、無視されるフィールド、または前方互換性のためにスキップすべきデータに遭遇した際にreader.Skip()を呼び出します。これらのスキップされた位置に深く入れ子になった値があると、制限のない再帰が発生し、捕捉不能なStackOverflowExceptionが引き起こされる可能性があります。この脆弱性はバージョン2.5.301および3.1.7で修正されました。

MessagePack for C#はC#向けのMessagePackシリアライザーです。2.5.301および3.1.7より前のバージョンでは、MessagePack-CSharpがLz4BlockまたはLz4BlockArrayのペイロードを解凍する際に、ワイヤーから宣言された非圧縮長を読み取り、その長さに基づいて出力バッファを割り当てます。しかし、その圧縮データが有効かどうかや宣言された展開サイズが妥当かどうかを検証する前に割り当てを行っていました。小さなペイロードが非常に大きな非圧縮長を主張し、LZ4デコーディングが始まる前に大きな割り当てを強制することが可能でした。この脆弱性は2.5.301および3.1.7で修正されました。

MessagePack for C# は C# 用の MessagePack シリアライザです。バージョン 2.5.301 および 3.1.7 より前では、ExpandoObjectFormatter.Deserialize は各マップエントリに対して IDictionarystring, object.Add を呼び出して System.Dynamic.ExpandoObject を構築します。ExpandoObject は内部的にメンバー名を配列のような構造で管理しているため、多数の異なるキーを挿入すると繰り返しの線形スキャンと配列のコピーが必要になる場合があります。攻撃者が制御する大規模なマップでは、これにより CPU 使用率と割り当てが二次的に増加する挙動が発生します。この問題は、ExpandoObjectResolver.Options が MessagePackSecurity.UntrustedData に設定されているにもかかわらず、衝突耐性のある辞書の比較器が ExpandoObject の挿入処理を保護できないため、特に驚くべきものです。この脆弱性はバージョン 2.5.301 および 3.1.7 で修正されています。

MessagePack for C# は C# 用の MessagePack シリアライザーです。バージョン 2.5.301 および 3.1.7 より前の MessagePack-CSharp の JSON 変換ヘルパーには、深さ制限を一貫して適用しない複数の再帰パスが含まれています。これらのパスは通常の型付き MessagePack デシリアライズではなく、JSON 変換コンポーネントに存在します。MessagePackSerializer.ConvertFromJson は FromJsonCore() 内でネストされた JSON 配列やオブジェクトを MessagePackSecurity.MaximumObjectGraphDepth を参照せずに再帰的に処理します。TinyJsonReader.ReadNextToken() はカンマやコロンの区切り文字を再帰的に処理し、長い区切り文字の連続による不正な JSON であっても各文字ごとにスタックフレームを消費します。MessagePackSerializer.ConvertToJson は配列やマップに対して深さチェックを適用しますが、拡張タイプ ext-100 の型なし拡張ブランチは MessagePackSecurity.DepthStep(ref reader) を適用せずに ToJsonCore() を再帰的に呼び出します。これらのパスはいずれも攻撃者が制御する入力によってプロセスのスタックを枯渇させ、キャッチできない StackOverflowException を発生させる可能性があり、キャッチ可能な解析やシリアライズ例外で失敗する代わりにスタックオーバーフローが発生します。この脆弱性はバージョン 2.5.301 および 3.1.7 で修正されました。

C#用のMessagePackはC#向けのMessagePackシリアライザです。バージョン2.5.301および3.1.7以前では、DynamicUnionResolverによって実行時に生成されるユニオンのデシリアライザが、再帰的なデシリアライズやスキップのパス周辺でMessagePackSecurity.DepthStep(ref reader)を呼び出さず、reader.Depthを減算しませんでした。これは、ユニオンのデシリアライズが他の再帰的なフォーマッタパスを保護する最大オブジェクトグラフ深度の制限に一貫して参加しなかったことを意味します。未知のユニオンキーに対して、生成されたデシリアライザは攻撃者が制御するデータに対して囲みの深度ステップなしにreader.Skip()を呼び出してしまいます。この脆弱性はバージョン2.5.301および3.1.7で修正されました。

MessagePack for C# は C# 向けの MessagePack シリアライザです。バージョン 2.5.301 および 3.1.7 より前の UnsafeBlitFormatterBaseT.Deserialize は、拡張ペイロードから攻撃者によって制御される byteLength を読み取り、その値に基づいて配列を割り当てますが、割り当て前に拡張ヘッダの長さまたは残りのペイロードバイト数と照合しません。外側の拡張ヘッダは利用可能な入力で制限されていますが、その制限は割り当て前に内側の byteLength の制約に使われません。そのため、非常に小さなペイロードで非常に大きな T[] を割り当てることが可能です。この脆弱性はバージョン 2.5.301 および 3.1.7 で修正されました。

MessagePack for C# は C# 用の MessagePack シリアライザーです。バージョン 2.5.301 および 3.1.7 より前の MessagePack-CSharp では、多次元配列フォーマッターがペイロードから直接次元の長さを読み取り、次元の積がエンコードされた要素数と一致するかどうかを検証する前に T[,], T[,,], または T[,,,] を割り当てていました。このフォーマッターは保護された要素配列ヘッダーを読み取りますが、ターゲットとなる多次元配列の割り当ては要素数と照合される前に行われていました。そのため、小さいペイロードでも大きな次元を宣言し、空または非常に小さい内部配列を提供することで、要素データが検証される前に大きなヒープ割り当てが発生する可能性がありました。この脆弱性はバージョン 2.5.301 および 3.1.7 で修正されています。

MessagePack for C# は C# 向けの MessagePack シリアライザーです。バージョン 2.5.301 および 3.1.7 より前のバージョンでは、InterfaceLookupFormatterTKey,TElement がオプションの options.Security.GetEqualityComparerTKey() で提供されるセキュリティ対応の比較子ではなく、デフォルトの等値比較子を使用して内部的に DictionaryTKey, IGroupingTKey,TElement を構築していました。このフォーマッターの不備により、アプリケーションが信頼されていないデータのセキュリティ設定を選択している場合でも、ILookupTKey,TElement に対するハッシュ衝突を利用した CPU リソースのサービス拒否攻撃が可能となってしまいます。この脆弱性はバージョン 2.5.301 および 3.1.7 で修正されています。

MessagePack for C#はC#向けのMessagePackシリアライザです。バージョン2.5.301および3.1.7より前のMessagePack-CSharpのtypelessデシリアライズ機能には、危険な型に対する安全チェックとしてMessagePackSerializerOptions.ThrowIfDeserializingTypeIsDisallowed(Type)が含まれていました。デフォルトの実装は外側の型名をチェックしますが、配列の要素型やジェネリック型の引数を再帰的に検査しません。その結果、直接ブロックされる型が配列や構築されたジェネリック型の中に包まれてしまうと、外側の型チェックを通過してしまいます。フォーマッタの仕組みは、その後内部のブロックされた型のフォーマッタを生成できるようになっています。この脆弱性はバージョン2.5.301および3.1.7で修正されました。

ViteはJavaScriptのフロントエンドツールフレームワークです。8.0.16、7.3.5、および6.4.3より前のバージョンでは、Windows環境においてserver.fs.denyで指定されたファイルの内容がブラウザに返される可能性がありました。Viteの開発サーバーは、.env、.env.*、*.{crt,pem}などのエントリを含むserver.fs.denyを通じて機密ファイルへの直接アクセスを拒否します。しかしWindowsでは、アクセスチェックを適用する前にNTFSのADSパス形式を正しく正規化しないため、/.env::$DATA?rawのようなリクエストが許可されたパスとして扱われ、Windowsはこれを元のファイルのデフォルトデータストリームに解決します。同様に、Windowsの8.3短縮名互換機能により、異なる名前を使ってファイルにアクセスすることが可能でした。Viteはこれらの方法によるファイルアクセスを拒否していませんでした。この脆弱性は8.0.16、7.3.5、および6.4.3で修正されています。

vLLMは大規模言語モデル（LLM）の推論およびサービングエンジンです。バージョン0.5.5から0.23.1rc0まで、vLLMのGGUFデクオンタイズカーネル（csrc/quantization/gguf/gguf_kernel.cu）におけるテンソル次元の整数切り捨てにより、テンソルの部分的な処理が発生していました。出力テンソルはtorch::emptyによって完全なサイズで割り当てられますが（初期化されていないメモリ）、デクオンタイズCUDAカーネルは切り捨てられた要素数のみを処理します。そのため、出力テンソルの未処理部分には、GPUメモリに以前存在していたデータがそのまま残っていました。マルチテナントの推論環境において、この残留GPUメモリは他のユーザーの推論リクエストのテンソルデータを含んでおり、情報漏洩を引き起こす可能性がありました。この脆弱性は0.23.1rc0で修正されています。

Open WebUIは、完全にオフラインで動作するよう設計されたセルフホスト型の人工知能プラットフォームです。バージョン0.9.6以前では、backend/open_webui/utils/oauth.py::_process_picture_urlが初期URLに対してのみvalidate_url(picture_url)を呼び出し、その後allow_redirects=Falseを指定せずにaiohttp.ClientSession.get(picture_url, ...)を呼び出していました。aiohttpのデフォルト設定はallow_redirects=True、max_redirects=10であり、この関数はプロジェクトのAIOHTTP_CLIENT_ALLOW_REDIRECTS環境変数も渡していませんでした。そのため、有効なOAuth IdPのIDを持つ攻撃者は、302リダイレクトを利用して内部アドレスに転送される公開URLを送信し、自らのprofile_image_urlフィールドを介して内部のレスポンスボディを読み取ることが可能でした。この脆弱性はバージョン0.9.6で修正されました。

Open WebUIは完全にオフラインで動作することを目的としたセルフホスト型の人工知能プラットフォームです。バージョン0.9.6以前では、Open WebUIは認証済みユーザーが自身のチャットメッセージに所有権や読み取り権を持っているかどうかを確認せずに、任意のfile_id値を添付することを許可していました。攻撃者がそのチャットを共有し、さらに自分自身に読み取りアクセス権を付与すると、has_access_to_file()は被害者のファイルを共有チャット経由でアクセス可能と判断し、ファイルのエンドポイントは被害者のファイルを読み取ったり削除したりします。この脆弱性はバージョン0.9.6で修正されました。

Open WebUIは完全にオフラインで動作するセルフホスト型の人工知能プラットフォームです。バージョン0.9.6以前のOpen WebUIでは、ワークスペースモデルの作成、更新、またはインポートが可能なユーザーが、自分が所有しているか参照可能かどうかを確認せずに、モデル上に任意のmeta.knowledgeエントリを保存できました。Open WebUIはmeta.knowledgeのタイプfileのエントリを2箇所で認可ソースとして扱っています。組み込みのview_fileツールはファイルの抽出テキストを読み取り、has_access_to_file()関数のモデルブランチはファイル内容およびファイル削除のエンドポイントを認可します。悪意のあるモデル所有者は他のユーザーのファイルIDを自身のモデルメタデータに付加し、そのプライベートファイルを読み取ったり削除したりできてしまいます。この脆弱性はバージョン0.9.6で修正されました。

Open WebUIは完全にオフラインで動作することを目的とした自己ホスト型の人工知能プラットフォームです。バージョン0.9.6以前では、Open WebUIはユーザープロフィール画像およびWebhookプロフィール画像におけるSVGのXSS脆弱性を修正していましたが、モデルプロフィール画像には同じ修正を適用していませんでした。ModelMetaクラスにはvalidate_profile_image_urlフィールドのバリデータがなく、モデル画像を配信するエンドポイントにはMIMEの許可リストやnosniffヘッダーが設定されていませんでした。workspace.models権限（デフォルトで有効）を持つ認証済みユーザーは、modelのプロフィール画像にdata:image/svg+xml;base64,...形式のペイロードを保存でき、その画像URLにアクセスした任意のユーザーのアカウントを完全に乗っ取ることが可能でした。この脆弱性はバージョン0.9.6で修正されています。

Open WebUIは完全にオフラインで動作する自己ホスト型の人工知能プラットフォームです。0.9.6以前のバージョンでは、SafePlaywrightURLLoaderがvalidate_url関数を実装しており、ユーザーが提供したURLのIPアドレスをチェックしてSSRF攻撃を防止していました。しかし、この検証は初期のURLに対してのみ行われます。PlaywrightはデフォルトでHTTPリダイレクト（301/302）を自動的に追従するため、攻撃者は安全なURLを提供し、そのURLが制限された内部ネットワークアドレス（例：localhost、Dockerコンテナネットワーク、クラウドメタデータ）にリダイレクトされることで検証を回避できます。これにより、ENABLE_RAG_LOCAL_WEB_FETCHがFalseに設定されていても、アプリケーションが内部サービスにアクセスできてしまう状態でした。この脆弱性はバージョン0.9.6で修正されました。

vLLMは大規模言語モデル（LLM）の推論およびサービスエンジンです。バージョン0.22.1以前のvLLMのDockerfileは、flashinfer-jit-cacheパッケージを通じた依存関係混乱攻撃に対して脆弱でした。このパッケージは--extra-index-urlを使用してカスタムインデックス（flashinfer.ai/whl/）からインストールされますが、パッケージ名はPyPIに登録されておらず、UV_INDEX_STRATEGY="unsafe-best-match"がグローバルに設定されていました。攻撃者がバージョン0.6.11.post2のflashinfer-jit-cacheをPyPIに登録すると、Dockerビルド中にroot権限で任意のコードを実行でき、生成されるすべてのコンテナイメージにバックドアを仕掛けることが可能になりました。これにより、本番のvLLM展開からすべてのユーザープロンプト、API認証情報、およびモデルデータが流出します。この脆弱性は0.22.1で修正されました。

protobufjs-cliはprotobuf.jsのコマンドラインアドオンです。バージョン1.3.2および2.5.0以前では、pbjsのstatic/static-moduleコード生成における安全でない名前の処理に関する修正が不完全でした。影響を受けるprotobufjs-cliのバージョンは、細工されたJSONディスクリプタ入力から静的出力を生成する際に、依然として安全でないJavaScript参照を出力する可能性があります。通常の.protoファイルからスキーマを解析するケースは影響を受けません。この問題は既知の脆弱性の回避策を回避する手法に該当します。事前に解析されたJSONディスクリプタをpbjsの静的コード生成に渡すことができる場合、攻撃者は生成されるJavaScript出力に攻撃者制御のコードを含める可能性があります。生成されたファイルがその後実行またはインポートされ、影響を受ける生成APIパスが呼び出されると、その注入されたコードが実行される場合があります。この脆弱性はバージョン1.3.2および2.5.0で修正されました。

Astroはウェブフレームワークです。6.4.6より前のバージョンでは、プリレンダリングされたエラーページ（export const prerender = trueを使用した/404または/500）を持つAstro SSRアプリが、エラー発生時にランタイムでそれらのページをHTTP経由で取得します。この取得のURLはrequest.urlから派生し、request.urlは受信したHostヘッダーからオリジンを取得します。HostヘッダーがallowedDomainsと照合されない場合、攻撃者は取得先を任意のホストに向けてレスポンスを読み取ることが可能です。この脆弱性は6.4.6で修正されました。

n8nはオープンソースのワークフロー自動化プラットフォームです。2.25.7および2.26.2以前のバージョンでは、ワークフローの作成または変更権限を持つ認証ユーザーが、MergeノードのSQLクエリモードで使用されるサンドボックスを汚染する可能性がありました。サンドボックスコンテキストはインスタンス上のすべてのワークフロー実行でキャッシュされ再利用されていたため、あるユーザーのワークフローによって導入されたプロトタイプの変更が、他のユーザーやプロジェクトに属するその後のMerge SQL実行に持続的に影響を与えました。この問題により、権限の低い攻撃者が同じインスタンス上の他ユーザーが処理するワークフローデータを傍受する可能性がありました。この脆弱性はMergeノードのSQLクエリモードを含むワークフローの作成および実行権限を複数のユーザーが持つマルチユーザーのn8nインスタンスにのみ影響します。この脆弱性はバージョン2.25.7および2.26.2で修正されています。

n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン2.24.0以前では、ワークフローの作成または変更権限を持つ認証済みユーザーが、Microsoft SQLノードに対して細工された値をtableパラメータとして提供することで、グローバルなプロトタイプ汚染を引き起こす可能性がありました。この汚染はn8nサーバープロセスの実行期間中にプロセス全体でObject.prototypeを汚染し、アプリケーション全体での検証が失敗する原因となり、n8nインスタンスを再起動するまで正常に機能しなくなります。この脆弱性はバージョン2.24.0で修正されました。

n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン2.24.0より前では、ワークフローの編集権限を持つ認証ユーザーがMongoDBノードの「Find And Replace」操作に悪意のあるフィルタ値を提供することができました。この値はMongoDBにクエリフィルタとして渡される前に検証されておらず、意図しないドキュメントが一致し、攻撃者が制御する内容で上書きされる可能性がありました。この脆弱性はバージョン2.24.0で修正されました。

n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン2.24.0以前のCompressionノードのDecompress操作では、解凍された出力サイズに制限がなく、攻撃者が制御するアーカイブをメモリ内に展開していました。認証されていない攻撃者がこのノードを使用する公開ウェブフックワークフローに小さな圧縮アーカイブを送信すると、メモリ不足によりn8nプロセスが終了し、同じインスタンス内のすべてのワークフローが中断される可能性があります。この脆弱性はバージョン2.24.0で修正されています。

Langflowは、AI搭載のエージェントおよびワークフローを構築・展開するためのツールです。バージョン1.0.19以前では、攻撃者が認証トークンやクッキーなしで/api/v1/files/upload/リクエストを送信し、非常に長いマルチパートフォームの境界を悪用することで、Langflowアプリを全ユーザーに対して無期限に使用不能にできる可能性がありました。この脆弱性はバージョン1.0.19で修正されました。

http-proxy-middlewareはNode.jsのhttp-proxyミドルウェアです。バージョン3.0.4から3.0.7および4.1.1まで、fixRequestBody()はボディパーサーによって既に消費されたリクエストボディを再送信するためのライブラリのドキュメント化されたヘルパーです。送信されるContent-Typeがmultipart/form-dataの場合、handlerFormDataBodyData()を使ってボディを再構築しますが、これは各req.bodyのキーと値をCR/LFを無効化せずにマルチパートのワイヤ形式に直接埋め込みます。値（またはキー）内の\r\nは攻撃者に現在のパートを閉じ、新しいフォームパートを完全に注入させることを可能にします。プロキシ自身のボディパーサーは単一の不透明な値を認識したため、ゲートウェイ側でreq.bodyに対して行われるポリシーや検証はアップストリームのバックエンドが最終的に解析するフィールドセットとは異なり、信頼境界を越えたリクエストやパラメータの非同期化が発生します。この脆弱性はバージョン3.0.7および4.1.1で修正されています。

Crawl4AIのバージョン0.8.8未満には、スクリーンショットおよびPDFエンドポイントに任意ファイル書き込みの脆弱性があります。この脆弱性により、認証されていない攻撃者がoutput_pathパラメータに対してシンボリックリンクおよびチェック時と使用時の時間差攻撃（TOCTOU）を利用し、意図されたディレクトリ外にファイルを書き込むことができます。リモートの攻撃者は不十分なパス検証およびシンボリックリンクの追従を悪用し、任意のファイル書き込みを行い、さらに実行可能ファイルやcronの場所への書き込み権限がある環境ではコードを実行する可能性があります。

Flowiseバージョン3.1.2以前には、/api/v1/chatflows/apikey/:apikeyエンドポイントに情報漏洩の脆弱性があります。keyonlyクエリパラメータが省略された場合（デフォルト設定）、このエンドポイントは提供されたAPIキーに紐付けられたチャットフローだけでなく、APIキーが割り当てられていないすべてのワークスペースのチャットフローも返します。これは基となるクエリにワークスペースフィルターが欠けているためです。したがって、あるワークスペースの有効なAPIキーを持つ攻撃者は、他のワークスペースに属する保護されていないチャットフローの完全なChatFlow構成（system promptsやノード構成を含むflowData、chatbotConfig、apiConfig、および資格情報ID）を取得できます。

Flowise 3.1.0未満のバージョンには、Execute Flowノードにサーバーサイドリクエスト偽装の脆弱性があります。この脆弱性により、攻撃者はbase URLフィールドにイントラネットのアドレスを指定してセキュリティ検証を回避できます。攻撃者はこれを悪用して内部ネットワークのアドレスにHTTPリクエストを送信し、クラウドのメタデータにアクセスしたり、httpSecurity.ts内のsecureFetchの検証不足を利用して内部サービスを列挙したりすることが可能です。

MISP Coreには、イベントレポートおよび共有グループの一括削除処理においてアクセス制御の欠陥がありました。影響を受けるdeleteSelectionハンドラーは、各選択オブジェクトの認可を検証する代わりに、広範なロールレベルの権限で削除を許可していました。イベントレポートに関しては、EventReportsController::deleteSelectionはレポートごとの所有権や認可チェックを行わず、グローバルなperm_add権限に依存していました。そのため、寄稿者レベルのユーザーが他組織のレポートIDまたはUUIDを送信し、インスタンス全体でハード削除できる状態でした。修正により削除前に各選択レポートについてEventReport::fetchIfAuthorized($user, $itemId, 'delete')が呼ばれるようになりました。共有グループに関しては、SharingGroupsController::deleteSelectionが各選択共有グループの所有権を検証せず、グローバルなperm_sharing_group権限に依存していました。これにより、共有グループ権限を持つユーザーが他組織の共有グループをハード削除でき、単一オブジェクト削除時に使用される所有権ゲートを回避していました。修正で各選択共有グループに対しSharingGroup::checkIfOwner($user, $itemId)が呼ばれるように変更されました。認証済みで該当の広範なロール権限を持つ攻撃者は、影響を受ける一括削除エンドポイントを悪用し、自組織の認可範囲外のオブジェクトを削除できるため、インスタンス全体でイベントレポート内容や共有グループ設定が失われる可能性があります。

MISPコアには複数のアクセス制御の不具合があり、認可チェックが誤ったエンティティに対して実行されることや、書き込み経路で所有権および編集権のチェックが欠如していました。影響を受けるサブシステムでは、関連する機能権限を持つ権限の低い認証済みユーザーが、あるオブジェクトの認可を受けていながら別のオブジェクトを変更したり、ユーザーの組織が閲覧可能だが編集権限のないオブジェクトを変更することが可能でした。影響を受けるパスは以下の通りです。 * イベントレポートのタグ削除：ルート認可されたレポートとタグ解除に使用されるレポートIDが異なり、別組織の他のイベントレポートからタグを削除できました。 * コレクション要素の一括削除：一括削除がコレクション要素の行IDと一致するコレクションIDに対して認可されており、要素の親コレクションのIDではなかったため、ユーザーが所有していないコレクションから要素を削除できます。 * アナリストデータの取得・更新：入れ子になったアナリストデータの更新がcanEditAnalystDataの所有権チェックを適用せずに既存レコードを上書きでき、組織間でアナリストデータレコードを上書き可能でした。 * テンプレート要素の編集：テンプレート要素のIDと一致するテンプレートに対して編集が認可されていましたが、実際の親テンプレートではなかったため、別組織のテンプレート要素を不正に編集できました。 * 減衰モデルの編集およびマッピング：書き込み経路がビュー・スコープのアクセスを使ってモデルを読み込んでいたものの編集所有権を確認せず、別組織が所有する表示可能なモデルを編集または再マッピングできました。 これらの不具合を悪用すると、特定サブシステムの権限を持つ認証済みユーザーがMISPデータの組織間で不正な変更や削除を行い、整合性を喪失させ、共有インテリジェンスの不正改ざんやアナリストのワークフロー混乱を引き起こす可能性があります。

MISPは、サイト管理者がJsonLogToolで使用されるNDJSONエラーログの任意のファイルシステムパスを設定できるようにしていました。ログエントリには攻撃者が制御する内容が含まれる可能性があるため、認証されたサイト管理者権限を持つ攻撃者は、ログ出力をWebアクセス可能なディレクトリ内のPHPファイルに向けてログデータを通じてPHPコードを注入できました。生成されたファイルにアクセスすると、Webサーバープロセスの権限でリモートコード実行が発生する可能性があります。修正によって、ログの出力先はAPP/tmp/logsまたは/var/log以下の既存ディレクトリに制限され、絶対パスが必須となりました。また、ストリームラッパーおよびトラバーサルに関連する入力が拒否され、ファイル名は.logまたは.ndjson拡張子に限定され、実行可能な拡張子のセグメントは許可されなくなりました。