脆弱性情報（JVN）検索・一覧

ToToLink A3300R ファームウェア v17.0.0cu.557_B20221024 に問題が発見されました。この問題により、攻撃者が /cgi-bin/cstecgi.cgi の stunMaxAlive パラメータを介して任意のコマンドを実行できる可能性があります。

ToToLink A3300R ファームウェア v17.0.0cu.557_B20221024 において、攻撃者が /cgi-bin/cstecgi.cgi の stunServerAddr パラメータを介して任意のコマンドを実行できる脆弱性が発見されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ksmbdのsmb2_calc_max_out_buf_len()関数内のハードコードされたhdr2_lenをoffsetof()に置き換えました。このコミット(e2b76ab8b5c9「ksmbd: read compoundのサポートを追加」)以降、レスポンスバッファの管理は動的なiov配列を使用するように変更されました。新しい設計では、smb2_calc_max_out_buf_len()は第2引数(hdr2_len)にレスポンス構造体内の-Bufferフィールドのオフセットを期待しており、ハードコードされたマジックナンバーではありません。残りの呼び出し箇所も正しいoffsetof()の値を使うように修正しています。

CyberPanelのバージョン2.4.4以前には、AIスキャナーワーカーのAPIエンドポイントに認証バイパスの脆弱性があります。この脆弱性により、認証されていないリモートの攻撃者が/api/ai-scanner/status-webhookおよび/api/ai-scanner/callbackエンドポイントにリクエストを送信し、任意のデータをデータベースに書き込むことが可能です。攻撃者は認証チェックの欠如を悪用して、ストレージの枯渇によるサービス拒否攻撃を引き起こしたり、スキャン履歴記録を破損させたり、悪意のあるデータでデータベースのフィールドを汚染したりすることができます。

Pipecatはリアルタイム音声およびマルチモーダル会話エージェント構築のためのオープンソースPythonフレームワークです。バージョン0.0.41から0.0.93にかけて、LiveKit統合向けのオプションで非デフォルトかつ未文書化の、現在は廃止されている`LivekitFrameSerializer`クラスに脆弱性があります。このクラスの`deserialize()`メソッドは、WebSocketクライアントから受け取ったデータを検証や無害化を行わずにPythonの`pickle.loads()`に渡しています。つまり、悪意のあるWebSocketクライアントが細工されたpickleペイロードを送信することで、Pipecatサーバ上で任意のコードを実行できます。脆弱なコードは`src/pipecat/serializers/livekit.py`（約73行目）にあり、信頼できないWebSocketメッセージデータが直接`pickle.loads()`に渡されてデシリアライズされています。PipecatサーバがLivekitFrameSerializerを使用するように設定され、外部インターフェース（例: 0.0.0.0）で待ち受けている場合、ネットワーク上の攻撃者（あるいはサービスが公開されていればインターネット上の攻撃者）が悪意あるpickleペイロードを送信することでサーバのリモートコード実行（RCE）を達成できます。バージョン0.0.94でこの問題は修正されました。Pipecatの利用者は安全でないデシリアライズ処理を避けるか置き換え、ネットワークセキュリティの設定を強化すべきです。最善の対策は脆弱なLivekitFrameSerializerの使用を完全に中止することです。LiveKit機能が必要な場合は最新バージョンへのアップグレードおよび推奨される`LiveKitTransport`やフレームワーク提供の他の安全な方法への切り替えを推奨します。さらに、安全なコーディングの実践としてクライアント提供データを決して信頼せず、ネットワークに面したコンポーネントではPythonのpickle（または類似の安全でないデシリアライズ）を使用しないでください。

LeRobot 0.5.1までのバージョンには、安全でない逆シリアル化の脆弱性があります。この脆弱性は、ポリシーサーバーおよびロボットクライアントコンポーネントの非同期推論パイプラインで、認証されていないgRPCチャネル経由で受信したデータをpickle.loads()で逆シリアル化する際に発生します。TLSが使用されていないため、認証されていないネットワーク上の攻撃者が、SendPolicyInstructions、SendObservations、またはGetActionsのgRPC呼び出しを通じて細工されたpickleペイロードを送信し、サーバーまたはクライアント上で任意のコードを実行する可能性があります。

SenseLive X3050のウェブ管理インターフェースには、十分な認証やサーバー側の検証がないため、重要な構成パラメータを変更できる脆弱性があります。回復メカニズムやネットワーク設定に対して、サポートされていないまたは破壊的な値を適用すると、攻撃者は恒久的なロックアウト状態を引き起こすことができます。デバイスには物理的なリセットボタンがないため、回復にはコンソールを通じた専門的な技術アクセスによる工場出荷時リセットが必要であり、それによってゲートウェイおよび接続されたRS-485下流システムで完全なサービス拒否状態が発生します。

SenseLive X3050のウェブ管理インターフェースには脆弱性があり、認証ロジックが完全にクライアント側で実行されています。サーバー側での検証が行われず、ブラウザで実行されるスクリプト内のハードコードされた値に依存しています。ログインページにアクセスできる攻撃者は、これらの公開されたパラメータを取得し、不正に管理機能へアクセスできます。

Linuxカーネルのnet/tlsにおいて、tls_do_encryptionの-EBUSYエラーパスで発生するuse-after-freeの脆弱性が修正されました。この問題は、crypto_aead_encrypt()が-EBUSYを返した際に、非同期コールバックtls_encrypt_done()と同期的なクリーンアップ処理がencrypt_pendingを二重にデクリメントし、scatterlistの復元が二重に行われることで発生しました。その結果、encrypt_pendingの管理が破損し、後続の処理で解放済みのリソースにアクセスするuse-after-freeが引き起こされました。本問題は、-EBUSYの非同期待機がエラーを返した場合に同期的なクリーンアップ処理をスキップすることで修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。smbサーバーはsend_doneがIB_SEND_SIGNALEDなしの完了を処理するようになりました。smbdirect_send_batchの処理により、IB_SEND_SIGNALEDなしのリクエストが存在する可能性があり、それらはIB_SEND_SIGNALEDが設定された最終リクエストで破棄されます。接続が切断された場合には、明示的にIB_SEND_SIGNALEDがなくてもすべてのリクエストにシグナルが送られます。

Linuxカーネルにおいて、mm: folio_unmap_invalidate() 内で -free_folio() を直接呼び出していた問題が修正されました。この問題は、filemap_free_folio() がマッピングへの参照やロックを保持している場合にのみ呼び出される必要があり、そうでない場合はフォリオの削除によって use-after-free 脆弱性が発生する可能性がありました。__remove_mapping() と同様に、ロックを解除する前に free_folio 関数ポインタを取得するように変更されました。これにより、本関数は filemap.c 外から呼び出される唯一の関数として静的に定義されました。

Linuxカーネルにおいて、usbip_pack_ret_submit()でnumber_of_packetsの検証が不十分だったため、悪意のあるUSB/IPサーバが不正なnumber_of_packetsを送り、urb-iso_frame_desc配列にヒープバッファオーバーフローが発生する可能性がありました。この脆弱性は、usbip_pack_ret_submit()でレスポンスのnumber_of_packetsを元のURBのnumber_of_packetsと比較し、上限を制限することで修正されました。これにより、usbip_recv_iso()やusbip_pad_iso()での配列走査が安全になり、潜在的なバッファオーバーフローが防止されます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。smbクライアントのsmbd_send_batch_flush()関数の後にsmbd_free_send_io()関数が二重に解放される問題を回避しました。smbd_send_batch_flush()はすでにsmbd_free_send_io()を呼び出しているため、smbd_post_send()の後で再度呼び出してはいけません。なお、smbd_post_send()関数はバッチリストに移動されました。

Apache Camelのcamel-coapコンポーネントにおいて、動的に決定されるオブジェクト属性が不適切に変更される脆弱性が存在します。camel-coapコンポーネントはCamelメッセージヘッダーインジェクションに対して脆弱であり、CoAPリクエストをヘッダーに依存するプロデューサ（例：camel-exec）に転送するルートでリモートコード実行が可能になります。camel-coapコンポーネントは、受信したCoAPリクエストのURIクエリパラメータをHeaderFilterStrategyを適用せずに直接Camel ExchangeのInメッセージヘッダーにマッピングしています。具体的には、CamelCoapResource.handleRequest()がOptionSet.getUriQuery()の各パラメータに対しcamelExchange.getIn().setHeader(...)を呼び出します。CoAPEndpointはDefaultHeaderFilterStrategyEndpointではなくDefaultEndpointを拡張しており、CoAPComponentはHeaderFilterStrategyComponentを実装していないため、コンポーネント内にHeaderFilterStrategyの参照が全く存在しません。その結果、認証されていない攻撃者がcoap://から消費するCamelルートに単一のCoAP UDPパケットを送信するだけで、Camel内部ヘッダー（Camel*で始まるもの）を任意にExchangeに注入できます。ルートがcamel-execやcamel-sql、camel-bean、camel-file、template系（camel-freemarker、camel-velocity）などヘッダーに依存するプロデューサにメッセージを送ると、注入されたヘッダーがプロデューサの動作を変更します。特にcamel-execでは、CamelExecCommandExecutableとCamelExecCommandArgsヘッダーがエンドポイントで設定された実行可能ファイルと引数を上書きし、Camelプロセスの権限で任意のOSコマンドを実行させます。プロデューサの出力はExchangeボディに書き戻され、CamelCoapResourceによってCoAP応答ペイロードとして返されるため、攻撃者は外部経路を介さずに双方向のリモートコード実行チャネルを獲得できます。攻撃の前提条件は最小限で、CoAPポート（デフォルト5683）への単一の認証なしUDPデータグラム送信だけで済みます。CoAP（RFC 7252）は認証を内蔵しておらず、DTLSはオプションかつデフォルトで無効です。UDPベースのプロトコルであるため、HTTPレイヤーのWAFやIDSでは防ぐことができません。この問題はApache Camelのバージョン4.14.0から4.14.5、4.18.0から4.18.1未満、および4.19.0に影響します。ユーザーはこの問題を修正したバージョン4.18.1または4.19.0へのアップグレードを推奨します。

Camel-Mail コンポーネントには Camel メッセージヘッダーインジェクションの脆弱性があります。この脆弱性は、camel-mail が「in」方向のカスタムヘッダーフィルタリングを適切に行わないため、攻撃者が悪意のあるメールを送信すると、Camel 固有のヘッダーを注入して下流のコンポーネントの動作を変更できる可能性がある問題です。これにより、camel-bean や camel-exec、camel-sql などのコンポーネントで不正な動作が引き起こされる恐れがあります。この問題は Apache Camel の特定のバージョンに影響を与え、修正バージョンへのアップグレードを推奨します。

Microsoft Entra ID エンタイトルメント管理において、サーバーサイドリクエストフォージェリ（SSRF）の脆弱性により、不正な攻撃者がネットワーク上でなりすましを行うことが可能です。

Apache CamelのJMSなどの非HTTPヘッダフィルタ戦略で、大文字と小文字が異なるCamel内部ヘッダーが適切にフィルタリングされず、攻撃者がリモートからコードを実行したり任意のファイルを書き込むことができる脆弱性です。この問題は特定のバージョンのApache Camelに影響し、修正バージョンへアップグレードすることが推奨されます。

camel-jms の JmsBinding.extractBodyFromJms() および camel-sjms の同等の JmsBinding クラスは、javax.jms.ObjectMessage.getObject() を介して受信した JMS ObjectMessage のペイロードをデシリアライズする際に、ObjectInputFilter やクラスの許可リスト・拒否リストを適用していませんでした。このコードパスは mapJmsMessage オプションが有効（デフォルト設定）で Camel が JMS コンシューマとして動作する場合に常に到達します。そのため、悪意のある ObjectMessage を Camel アプリケーションが消費するキューやトピックに送信できる攻撃者は、クラスパスにデシリアライズガジェットチェーンが存在する場合、リモートコード実行を達成する可能性がありました。同様の処理は、camel-sjms2（Sjms2Endpoint が SjmsEndpoint を拡張）、camel-amqp（AMQPJmsBinding が JmsBinding を拡張）、および JmsComponent 上に構築された他の JMS ファミリーコンポーネント（camel-activemq、camel-activemq6）を通じても間接的に達成されました。この問題は Apache Camel のバージョン 3.0.0 から 4.14.7 より前、4.15.0 から 4.18.2 より前、4.19.0 から 4.20.0 より前に影響します。ユーザーはこの問題を修正したバージョン 4.20.0 へアップグレードすることを推奨します。4.14.x LTS リリースストリームを使用している場合は 4.14.7 へ、4.18.x リリースストリームを使用している場合は 4.18.2 へのアップグレードを推奨します。

elFinderはjQuery UIを使用してJavaScriptで書かれたWeb用のオープンソースファイルマネージャーです。バージョン2.1.67より前のelFinderには、resizeコマンドにコマンドインジェクションの脆弱性が存在します。bg（背景色）パラメータはユーザー入力から受け取り、画像のリサイズおよび回転処理に渡されます。ImageMagick CLIバックエンドを使用する構成では、この値が十分にエスケープされずにシェルコマンド文字列に組み込まれてしまいます。攻撃者は細工されたbg値でresizeコマンドを呼び出すことで、ウェブサーバープロセスのユーザーとして任意のコマンドを実行可能です。この脆弱性はバージョン2.1.67で修正されました。

Dgraphはオープンソースの分散型GraphQLデータベースです。25.3.3以前のバージョンにおいて、認証されていない攻撃者がデータベース内のすべてのデータに対して完全な読み取りアクセスを取得できる脆弱性が発見されました。この脆弱性はACLが有効化されていないDgraphのデフォルト設定に影響を与えます。攻撃は、/mutate?commitNow=trueへの単一のHTTP POSTリクエストで行われ、アップサートミューテーション内の細工されたcondフィールドを含みます。condの値は、文字列の置換（strings.Replace）による表面的な変換のみが行われた後、strings.Builder.WriteStringを介して直接DQLクエリ文字列に連結されます。エスケープやパラメータ化、構造的な検証は一切適用されません。攻撃者はcond文字列に追加のDQLクエリブロックを注入し、DQLパーサはこれを構文的に有効な名前付きクエリブロックとして受け入れます。注入されたクエリはサーバー側で実行され、その結果がHTTPレスポンスに返されます。この脆弱性は25.3.3で修正されました。

Dgraphはオープンソースの分散型GraphQLデータベースです。バージョン25.3.3より前のDgraphには、認証されていない攻撃者がデータベース内の全データに対して完全な読み取り権限を取得できる脆弱性があります。この脆弱性は、ACLが有効でないDgraphのデフォルト構成に影響します。攻撃はポート8080に対する2回のHTTP POSTリクエストを必要とします。1回目は/alterに対して@unique、@index(exact)、@lang付きのスキーマ述語を設定します（これはデフォルト構成で認証が不要です）。2回目は/pmutate?commitNow=trueに対し、述語名に@とDQLインジェクションペイロードを言語タグ位置に含む巧妙に作成されたJSONミューテーションを送信します。このインジェクションはedgraph/server.goのaddQueryIfUnique関数を悪用しており、fmt.Sprintfを使用して未サニタイズのpredicateNameを含むDQLクエリを構築します。このpredicateNameには生のpred.Lang値が含まれています。LangフィールドはJSONミューテーションキーからx.PredicateLang()により@で分割され抽出されますが、コードベースのどの関数でも検証されません。攻撃者は閉じ括弧を注入してeq()関数からエスケープし、任意の名前付きクエリブロックを追加し、さらに#コメントで後続のテンプレート構文を無効化します。注入されたクエリはサーバー側で実行され、その結果はHTTPレスポンスで返されます。この脆弱性はバージョン25.3.3で修正されています。

PJSIPはC言語で書かれた無料のオープンソースのマルチメディア通信ライブラリです。バージョン2.16およびそれ以前のバージョンでは、SIPマルチパートメッセージボディ内の不正なContent-ID URIを解析する際にバッファの境界外読み取りが発生します。不十分な長さの検証により、意図したバッファ境界を超えた読み取りが生じる可能性があります。この脆弱性はバージョン2.17で修正されました。

Budibaseはオープンソースのローコードプラットフォームです。3.35.4より前のバージョンでは、認証済みミドルウェアがctx.request.urlに対してpublic（認証不要）エンドポイントパターンをマッチさせる際に、アンカーなしの正規表現を使用していました。Koaのctx.request.urlにはクエリ文字列が含まれるため、攻撃者はクエリパラメータにpublicエンドポイントのパスを付加し、任意の保護されたエンドポイントにアクセスすることが可能でした。例えば、POST /api/global/users/search?x=/api/system/statusは、URLのクエリ文字列部分に/ api/system/status/の正規表現がマッチするため、すべての認証を回避します。この脆弱性は3.35.4で修正されました。

BACnet Stackは組み込みシステム向けのオープンソースBACnetプロトコルスタックCライブラリです。バージョン1.4.3以前では、bacnet-stackのWritePropertyMultipleサービスデコーダーにおける範囲外読み取りの脆弱性により、認証されていないリモート攻撃者が切り詰められたWPMリクエストを送信することで、割り当てられたバッファ境界を超えて読み取ることが可能でした。この脆弱性は、wpm_decode_object_property()が非推奨のdecode_tag_number_and_value()関数を呼び出していることに起因しており、この関数は入力バッファに対する境界チェックを行いません。切り詰められたプロパティペイロードを含む精巧に作成されたBACnet/IPパケットにより、デコーダーはバッファの終わりから1から7バイト読み過ぎてしまい、組み込みBACnetデバイスがクラッシュしたり情報漏洩が発生したりします。この脆弱性はバージョン1.4.3で修正されました。

Saltcornは拡張可能なオープンソースのノーコードデータベースアプリケーションビルダーです。バージョン1.4.6、1.5.6、および1.6.0-beta.5以前のSaltcornのmobile-syncルートにSQLインジェクションの脆弱性が存在します。少なくとも1つのテーブルに対する読み取り権限を持つ認証済みの低権限ユーザーが、同期パラメータを通じて任意のSQLを注入することが可能です。これにより、管理者のパスワードハッシュや設定の秘密情報を含むデータベース全体の情報漏洩が発生する可能性があり、バックエンドによってはデータベースの改変や破壊も引き起こす恐れがあります。この脆弱性はバージョン1.4.6、1.5.6、および1.6.0-beta.5で修正されました。

Dgraph はオープンソースの分散型 GraphQL データベースです。バージョン 25.3.3 より前の Dgraph では、認証なしでアクセス可能な Alpha の /debug/vars エンドポイントを通じてプロセスのコマンドライン情報が公開されていました。管理者トークンは一般的に --security "token=..." スタートアップフラグを介して提供されるため、認証されていない攻撃者がそのトークンを取得し、X-Dgraph-AuthToken ヘッダーで再利用して管理者専用エンドポイントにアクセスできました。これは以前に修正された /debug/pprof/cmdline の問題のバリエーションですが、現在の修正は不完全であり、/debug/pprof/cmdline のみをブロックし、expvar の /debug/vars ハンドラーを含む http.DefaultServeMux は依然として提供されていました。この脆弱性はバージョン 25.3.3 で修正されました。

** 割り当て時にはサポートされていません ** Pony Mail における HTTP リクエストの不整合な解釈（「HTTP リクエスト／レスポンス・スマグリング」）の脆弱性により、管理者アカウントを乗っ取ることが可能です。この問題は Pony Mail の Lua 実装の全バージョンに影響を与えます。現在、Python 実装の「Pony Mail Foal」が開発中ですが、この問題の影響を受けておらず、まだリリースされていません。Lua 実装は既に引退しているため、この問題を修正したバージョンのリリースは予定していません。ユーザーには代替手段を検討するか、インスタンスへのアクセスを信頼できるユーザーに制限することを推奨します。注意：この脆弱性はメンテナがもはやサポートしていない製品にのみ影響を与えます。

デュアルアルゴリズムのCertificateVerifyにおける境界外読み取りが発生します。細工された入力により、デュアルアルゴリズムのCertificateVerifyメッセージを処理する際に境界外読み取りが起こる可能性があります。この問題は、wolfSSLをビルドするときに--enable-experimentalおよび--enable-dual-alg-certsを使用している場合にのみ発生します。

GitHub Enterprise Serverのスコープ付きユーザーからサーバーへの(ghu_)トークン認証における不適切な認可の脆弱性により、認証された攻撃者が意図されたインストール範囲外のプライベートリポジトリにアクセスできる可能性があります。このアクセスには書き込み操作も含まれる可能性があり、取り消されたまたは削除されたインストールをグローバルなインストールコンテキストとして扱う認可フォールバックを介して発生します。この脆弱性は、トークン取り消しのタイミングおよびSSHプッシュの帰属と組み合わせることで、被害者のスコープ付きトークンを取得して再利用できる状態でした。この脆弱性はGitHub Enterprise Serverの3.21より前のすべてのバージョンに影響し、3.20.1、3.19.5、3.18.8、3.17.14、3.16.17、3.15.21、3.14.26のバージョンで修正されています。この脆弱性はGitHubバグバウンティプログラムを通じて報告されました。

xrdpはオープンソースのRDPサーバーです。バージョン0.10.5までにおいて、RDP機能交換フェーズ中に範囲外読み取りの脆弱性が存在していました。この問題は、残りのバッファ長を検証する前にメモリにアクセスしてしまうことにより発生します。リモートの認証されていない攻撃者は、特別に細工されたConfirm Active PDUを送信することでこの脆弱性を引き起こす可能性があります。成功した悪用により、サービス拒否（プロセスクラッシュ）またはプロセスメモリからの機密情報漏洩が発生する可能性があります。この問題はバージョン0.10.6で修正されています。

xrdp はオープンソースの RDP サーバーです。バージョン 0.10.5 までには、認証前の RDP メッセージ解析ロジックにおいて境界外読み取りの脆弱性が存在していました。リモートの未認証攻撃者は、初回接続フェーズ中に細工された一連のパケットを送信することで、この脆弱性を引き起こす可能性があります。この脆弱性は、動的チャネル通信の処理前に入力バッファ長の検証が不十分であることが原因です。悪用に成功すると、プロセスクラッシュによるサービス妨害（DoS）状態が発生したり、サービスのメモリ空間から機密情報が漏洩したりする可能性があります。この問題はバージョン 0.10.6 で修正されています。

Oracle E-Business SuiteのOracle Advanced Inbound Telephony製品（コンポーネント：セットアップおよび管理）に存在する脆弱性です。影響を受けるサポート対象バージョンは12.2.3から12.2.15までです。HTTP経由でネットワークアクセス可能な認証されていない攻撃者が、この脆弱性を容易に悪用できます。その結果、Oracle Advanced Inbound Telephonyが侵害される可能性があります。この脆弱性を悪用した攻撃が成功すると、Oracle Advanced Inbound Telephonyを乗っ取られる事態となります。CVSS 3.1基本スコアは9.8で、機密性、完全性および可用性に影響を与えます。CVSSベクターは(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)です。

NICO-FTP 3.0.1.19には、構造化例外ハンドラにバッファオーバーフローの脆弱性が存在します。この脆弱性により、リモートの攻撃者が細工されたFTPコマンドを送信することで任意のコードを実行可能になります。攻撃者はFTPサービスに接続し、応答ハンドラに過剰なデータを送信してSEHポインタを上書きし、注入されたシェルコードの実行にリダイレクトできます。

Step CAは、DevOps向けに安全で自動化された証明書管理を提供するオンライン証明書機関です。バージョン0.30.0-rc6およびそれ以前のバージョンでは、SCEPのUpdateReqを介した認証されていない証明書の発行を防止できませんでした。この問題はバージョン0.30.0で修正されました。

NovumOSは、Zigとx86アセンブリで書かれたカスタムの32ビットオペレーティングシステムです。バージョン0.24未満では、Syscall 12（JumpToUser）がユーザースペースのレジスタから任意のエントリポイントアドレスを検証なしに受け入れていました。これによりRing 3のユーザーモードプロセスがカーネルアドレスにジャンプし、Ring 0コンテキストで任意のコードを実行できたため、ローカル権限昇格が発生します。この問題はバージョン0.24で修正されました。開発者がすぐにアップデートできない場合は、Ring 3なしのシングルユーザーモードでシステムを実行してsyscallへのアクセスを制限し、カーネルシェルのみを動作させてユーザープロセスを無効化する必要があります。

NovumOSはZigとx86アセンブリで書かれたカスタム32ビットオペレーティングシステムです。バージョン0.24より前のバージョンでは、システムコール15（MemoryMapRange）がリング3ユーザーモードプロセスに対し、IDT、GDT、TSS、ページテーブルなどの重要なカーネル構造を含む禁止領域の検証を行わずに任意の仮想アドレス範囲をアドレス空間にマッピングすることを許可していました。ローカルの攻撃者はこれを悪用し、カーネルの割り込みハンドラを改変することでユーザーモードからカーネルコンテキストへ権限昇格を引き起こす可能性があります。この問題はバージョン0.24で修正されています。

Tianxinインターネット行動管理システムのReporterコンポーネントのエンドポイントにはコマンドインジェクションの脆弱性が存在します。この脆弱性により、認証されていない攻撃者がシェルのメタキャラクタと出力リダイレクションを含む細工されたobjClassパラメータを送信することで任意のコマンドを実行できます。攻撃者はこの脆弱性を悪用して悪意のあるPHPファイルをウェブルートに書き込み、ウェブサーバープロセスの権限でリモートコード実行を達成する可能性があります。本脆弱性はバージョンNACFirmware_4.0.0.7_20210716.180815_topsec_0_basic.binで修正されました。攻撃の証拠は2024年6月1日(UTC)にShadowserver Foundationによって初めて観測されました。

Weaver (Fanwei) E-cology 10.0バージョンの20260312以前には、認証されていないリモートコード実行の脆弱性が/papi/esearch/data/devops/dubboApi/debug/methodエンドポイントに存在します。攻撃者は公開されたデバッグ機能を呼び出すことで任意のコマンドを実行できます。攻撃者は、interfaceNameおよびmethodNameパラメータを制御した内容でPOSTリクエストを作成し、コマンド実行ヘルパーに到達してシステム上で任意のコマンド実行を達成可能です。悪用の証拠は2026年3月31日（UTC）にShadowserver Foundationによって初めて観測されました。

marimoはリアクティブなPythonノートブックです。0.23.0以前のバージョンにおいて、Marimoには認証前リモートコード実行（Pre-Auth RCE）の脆弱性が存在していました。ターミナルのWebSocketエンドポイントである/terminal/wsは認証検証を欠いており、認証されていない攻撃者が完全なPTYシェルを取得して任意のシステムコマンドを実行できる状態でした。他のWebSocketエンドポイント（例えば/ws）は認証のために正しくvalidate_auth()を呼び出しますが、/terminal/wsエンドポイントは接続を受け入れる前に実行モードとプラットフォームのサポートのみを確認し、認証検証を完全にスキップしていました。この脆弱性は0.23.0で修正されています。

CF Image Hosting Script 1.6.5 には、認証されていない攻撃者が upload/data ディレクトリ内の imgdb.db ファイルにアクセスすることで、アプリケーションのデータベースをダウンロードおよび復号化できる脆弱性があります。攻撃者は、逆シリアル化されたデータベースからプレーンテキストで保存されている削除IDを抽出し、それを利用して d パラメータ経由で全ての画像を削除できます。