脆弱性情報（JVN）検索・一覧

シンキングリード株式会社が提供するF-RevoCRMには、次の脆弱性が存在します。 ・クロスサイトスクリプティング（CWE-79）- CVE-2026-71368 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。 報告者：株式会社VLCセキュリティラボ ブイ ミン ダン 氏

Synology Inc.が提供するSynology Assistantには、次の脆弱性が存在します。 ・インストール時の不適切なファイルアクセス権設定（CWE-276）- CVE-2026-4793 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。 報告者：GMOサイバーセキュリティ byイエラエ株式会社 松本 一真 氏

CAIコンテンツクレデンシャルは、権限昇格を引き起こす可能性のあるサーバーサイドリクエストフォージェリ（SSRF）脆弱性の影響を受けています。この問題を悪用するには、被害者が悪意のあるURLを訪問するか、改ざんされたウェブページとやり取りするなどのユーザー操作が必要です。影響範囲が変更されています。

CAI Content Credentialsは、整数オーバーフローまたはラップアラウンドの脆弱性の影響を受けており、これによりアプリケーションでサービス拒否（DoS）が発生する可能性があります。攻撃者はこの脆弱性を悪用してアプリケーションをクラッシュさせ、サービス拒否の状態を引き起こす可能性があります。この問題を悪用するためにユーザーの操作は必要ありません。

CAIコンテンツクレデンシャルには、リソース消費の制御不良による脆弱性が存在し、これによりアプリケーションがサービス拒否（DoS）状態になる可能性があります。攻撃者はこの脆弱性を悪用してシステムリソースを枯渇させ、アプリケーションのサービス拒否状態を引き起こすことが可能です。この問題を悪用するためにユーザーの操作は必要ありません。

CAIコンテンツクレデンシャルは、整数のアンダーフロー（ラップまたはラップアラウンド）脆弱性の影響を受けており、これによりアプリケーションがサービス拒否（DoS）を引き起こす可能性があります。攻撃者はこの脆弱性を悪用してアプリケーションをクラッシュさせ、サービス拒否の状態を発生させることができます。この問題を悪用するためにユーザーの操作は必要ありません。

CAIコンテンツクレデンシャルは、不適切な入力検証の脆弱性の影響を受けており、これによりセキュリティ機能を回避される可能性があります。攻撃者はこの脆弱性を悪用して、セキュリティ対策を回避し、不正な書き込みアクセスを取得できます。この問題を悪用するには、被害者が悪意を持って作成されたURLを訪問するか、改ざんされたウェブページと対話する必要があります。

CAIコンテンツクレデンシャルは、不適切な証明書検証の脆弱性の影響を受けており、これによりセキュリティ機能をバイパスされる可能性があります。攻撃者はこの脆弱性を悪用してセキュリティ対策を回避し、許可されていない書き込みアクセスを取得することができます。この問題を悪用するには、被害者が悪意のある巧妙に作成されたURLを訪問したり、改ざんされたウェブページとやり取りしたりするなどのユーザーの操作が必要です。

CAIコンテンツクレデンシャルは、アプリケーションのサービス拒否につながる制御されていないリソース消費の脆弱性の影響を受けています。攻撃者はこの脆弱性を悪用してシステムリソースを枯渇させ、アプリケーションをサービス拒否状態にさせる可能性があります。この問題を悪用する際にユーザーの操作は必要ありません。

CAIコンテンツクレデンシャルには、整数オーバーフローまたはラップアラウンドの脆弱性が存在し、アプリケーションのサービス拒否を引き起こす可能性があります。攻撃者はこの脆弱性を悪用してアプリケーションをクラッシュさせ、サービス拒否の状態を発生させることができます。この問題を悪用する際にユーザーの操作は必要ありません。

CAIコンテンツクレデンシャルは整数オーバーフローまたはラップアラウンドの脆弱性の影響を受けており、これによりアプリケーションのサービス拒否（DoS）を引き起こす可能性があります。攻撃者はこの脆弱性を悪用してアプリケーションをクラッシュさせ、サービス拒否の状態を引き起こすことができます。この問題を悪用するためにユーザーの操作は必要ありません。

CAIコンテンツクレデンシャルズは、パス名の制限不備により制限付きディレクトリへのパストラバーサル（パス・トラバーサル）脆弱性が存在し、これによって任意のファイルシステムを読み取ることが可能になる恐れがあります。攻撃者はこの脆弱性を悪用し、本来アクセスできない機密ファイルやディレクトリにアクセスできます。この問題を悪用するためには、被害者が悪意のあるURLを訪問するか、改ざんされたウェブページと対話するなどのユーザー操作が必要です。

Apache AirflowのXCom `GET /api/v2/{...}/xcomEntries/{key}?deserialize=true` エンドポイントは、`_check_forbidden_xcom_keys`というガードがない状態で文字列リテラルのペイロードを `BaseXCom.deserialize_value` に渡しており、XComの書き込みおよび読み取り権限を持つ認証済みAPIユーザーがAPIサーバー上で任意の `airflow.*` クラスをインスタンス化できる（CWE-502）問題があります。認証されたユーザーがXCom値を書き込み、その後 `deserialize=true` を指定して読み戻すことで危険なインスタンス化が引き起こされます。ユーザーには、予約済みのXComシリアライズキーをJSON文字列リテラルとして提出することを拒否するapache-airflow 3.3.1以降へのアップグレードを推奨します。

Apache Airflowのシークレットマスカーは、Rendered Templates UIで値が辞書型の`var.json`変数の値をマスクしませんでした。辞書型の値が`isinstance(str)`ガードに失敗したため、JSON変数として保存され、テンプレート内で`var.json`経由で参照されたシークレットが、そのタスクのRendered Templatesビューにアクセスできるユーザーに平文で表示されてしまいました。ユーザーは、型にかかわらずネストされた変数の値をマスクするapache-airflow 3.3.1以降にアップグレードすることを推奨します。

Windows DHCPサーバーにおける整数のアンダーフロー（ラップまたはラップアラウンド）が原因で、不正な攻撃者が隣接するネットワーク上で情報を開示できる可能性があります。

Windows DHCPサーバーにおける整数のアンダーフロー（ラップまたはラップアラウンド）は、不正な攻撃者が隣接するネットワーク上で情報を開示できる原因となります。

Windows DHCP サーバーの整数アンダーフロー（ラップまたはラップアラウンド）により、不正な攻撃者が隣接するネットワークを通じて情報を漏洩させる可能性があります。

Windows DHCP サーバーの整数アンダーフロー（ラップまたはラップアラウンド）により、不正な攻撃者が隣接するネットワークを越えて情報を漏洩させる可能性があります。

Windows DHCPサーバーにおける整数のアンダーフロー（ラップまたはラップアラウンド）が、未承認の攻撃者によって隣接するネットワーク上で情報漏洩を引き起こす可能性があります。

Windows DHCPサーバーにおける整数のアンダーフロー（ラップまたはラップアラウンド）により、認可されていない攻撃者が隣接するネットワーク上で情報を漏洩させる可能性があります。

Windows DHCPサーバーにおける整数のアンダーフロー（ラップまたはラップアラウンド）が発生することで、不正な攻撃者が隣接するネットワークを介して情報を開示できる可能性があります。

Windows DHCPサーバーにおける整数アンダーフロー（ラップまたはラップアラウンド）が原因で、不正な攻撃者が隣接するネットワークを経由して情報を漏洩させる可能性があります。

Microsoft Office Outlookの不十分に保護された認証情報により、不正な攻撃者がネットワーク上でなりすましを行うことが可能です。