脆弱性情報（JVN）検索・一覧

Erlang OTP（inetsモジュール）における誤った認可の脆弱性により、script_alias経由で提供されるディレクトリルールで保護されたCGIスクリプトに未認証でアクセスできる問題があります。script_aliasがURLプレフィックスをDocumentRoot外のディレクトリにマッピングする場合、mod_authはDocumentRoot相対パスに基づくディレクトリベースのアクセス制御を評価しますが、mod_cgiはScriptAliasによって解決されたパスでスクリプトを実行します。このパスの不一致により、ディレクトリルールで保護されていたCGIスクリプトに未認証でアクセスされてしまいます。この脆弱性は、lib/inets/src/http_server/mod_alias.erl、lib/inets/src/http_server/mod_auth.erl、およびlib/inets/src/http_server/mod_cgi.erlのプログラムファイルに関連しています。この問題はOTP 17.0からOTP 28.4.2、27.3.4.10および26.2.5.19までのバージョン、対応するinetsのバージョン5.10から9.6.2、9.3.2.4および9.1.0.6に影響を及ぼします。

Flowsintは、サイバーセキュリティ調査、透明性、および検証を目的としたオープンソースのOSINTグラフ探索ツールです。Flowsintでは調査を作成でき、それによりスケッチと分析の管理が可能です。スケッチはノードと関係で構成される制御可能なグラフを持ちます。スケッチには、これらのノードおよび関係内にOSINTターゲット（ユーザー名、ウェブサイトなど）の情報が含まれています。ノードでは「トランスフォーマー」と呼ばれる自動プロセスを実行できます。リモートの攻撃者はスケッチを作成し、組織ノードで「org_to_asn」トランスフォームを起動することで、シェルのメタ文字とDockerコンテナ脱出を介してホストマシン上でrootとして任意のOSコマンドを実行することができます。コミットb52cbbb904c8013b74308d58af88bc7dbb1b055cは、この問題の原因となるコードを削除しています。

Spinnakerはオープンソースのマルチクラウド継続的デリバリープラットフォームです。2026.1.0、2026.0.1、2025.4.2、および2025.3.2より前のバージョンでは、悪意のある者がclouddriverポッド上で任意のコマンドを非常に簡単に実行できる可能性があります。これにより、認証情報が漏洩したり、ファイルが削除されたり、リソースが注入されたりする恐れがあります。バージョン2026.1.0、2026.0.1、2025.4.2、および2025.3.2にはこの問題に対するパッチが含まれています。回避策として、gitrepoアーティファクトタイプを無効にしてください。

Spinnakerはオープンソースのマルチクラウド継続的デリバリープラットフォームです。Echoは他のいくつかのサービスと同様に、SPeL（Spring Expression Language）を使用して情報を処理します。特に期待されるアーティファクトに関連しています。2026.1.0、2026.0.1、2025.4.2、および2025.3.2より前のバージョンでは、orcaとは異なり、そのコンテキストを信頼されたクラスのセットに制限せず、完全なJVMアクセスを許可していました。これにより、ユーザーはシステムへの深いアクセスを可能にする任意のJavaクラスを使用することができました。その結果、コマンドの実行やファイルへのアクセスなどが可能になっていました。バージョン2026.1.0、2026.0.1、2025.4.2、および2025.3.2には修正が含まれています。回避策としては、Echoを完全に無効化することが推奨されます。

nanobotはパーソナルAIアシスタントです。バージョン0.1.5以前のbridge/src/server.tsのブリッジのWebSocketサーバーには、クロスサイトWebSocketハイジャックの脆弱性が存在していました。この問題は不完全な修正により発生し、トークン認証がデフォルトで無効化されていたことと、WebSocketハンドシェイク中にOriginヘッダーの検証が行われていなかったことが原因でした。ブラウザはサーバーが明示的にクロスオリジン接続を拒否しない限り、WebSocketにSame-Origin Policyを適用しないため、攻撃者は任意のウェブサイトからws://127.0.0.1:3001/への接続を確立して、ブリッジAPIへ完全にアクセスできました。これにより、攻撃者はWhatsAppセッションを乗っ取り、受信メッセージを読み取り、認証QRコードを盗み、ユーザーに代わってメッセージを送信できました。この脆弱性はバージョン0.1.5で修正されました。

OpenRemoteはオープンソースのIoTプラットフォームです。バージョン1.21.0以下には、ルールエンジン内に関連した2つの式インジェクション脆弱性が存在し、これによりサーバー上で任意のコードを実行可能です。JavaScriptルールエンジンは、NashornのScriptEngine.eval()を介してユーザー提供のスクリプトをサンドボックス化せず、クラスフィルタリングやアクセス制限なしに実行します。また、RulesResourceImplの認可チェックはGroovyルールをスーパーユーザーにのみ制限しますが、JavaScriptルールはwrite:rulesロールを持つ任意のユーザーが制限なくアクセスできます。加えて、GroovyルールエンジンにはGroovyDenyAllFilterというセキュリティフィルターが定義されているものの、登録コードがコメントアウトされているため登録されておらず、SandboxTransformerはスーパーユーザー作成のGroovyルールに対して無効です。write:rulesロールを持つ非スーパーユーザーの攻撃者は、完全なJVMアクセス権限で実行されるJavaScriptルールセットを作成でき、これによりrootとしてリモートコードの実行、任意のファイル読み取り、データベース認証情報を含む環境変数の窃取、およびマルチテナント隔離の完全なバイパスを行い、全領域のデータにアクセス可能となります。本問題はバージョン1.22.0で修正されています。

Claude Codeはエージェンシー型のコーディングツールです。バージョン2.1.64以前のClaude Codeのサンドボックスは、サンドボックス内のプロセスがワークスペース外の場所を指すシンボリックリンクを作成することを防げませんでした。Claude Codeがそのようなシンボリックリンク内のパスに書き込みを行うと、サンドボックス外のプロセスはシンボリックリンクをたどってワークスペース外のターゲット場所にユーザーの確認なしに書き込みを行いました。これにより、サンドボックス内のコマンドもサンドボックス外のアプリも単独ではワークスペース外に書き込むことができませんが、それらの組み合わせによって任意の場所に書き込めるサンドボックス脱出が可能となり、結果としてサンドボックス外でのコード実行が可能になりました。この脆弱性を確実に悪用するには、信頼できない内容をClaude Codeのコンテキストウィンドウに追加し、プロンプトインジェクションを通じてサンドボックス内コードの実行を誘発する必要がありました。標準のClaude Code自動更新を利用しているユーザーはこの修正を自動的に受けており、手動更新を行うユーザーにはバージョン2.1.64以降への更新が推奨されています。

FreeScoutは無料のセルフホスト型ヘルプデスクおよび共有メールボックスです。バージョン1.8.213以前では、添付ファイルのダウンロード用トークンが弱く予測可能な式 `md5(APP_KEY + attachment_id + size)` を用いて生成されていました。attachment_idは連番であり、sizeは小さい範囲でブルートフォースが可能なため、認証されていない攻撃者が有効なトークンを偽造し、認証なしで任意のプライベート添付ファイルをダウンロードできました。この問題はバージョン1.8.213で修正されています。

PJSIPはC言語で書かれた無料かつオープンソースのマルチメディア通信ライブラリです。バージョン2.16およびそれ以前のPJSIPには、事前計算されたダイジェスト認証情報（PJSIP_CRED_DATA_DIGEST）を使用した際に、pjsip_auth_create_digest2()関数でスタックバッファオーバーフローの脆弱性があります。この関数はcred_info-data.slenを長さとして認証情報データをコピーしますが、上限チェックを行わないため、data.slenが想定されるダイジェスト文字列の長さを超えると、固定サイズのha1スタックバッファ（128バイト）をオーバーフローさせる可能性があります。

Velociraptorのバージョン0.76.3以前には、query()プラグインに脆弱性が存在し、ユーザーの現在のACLトークンを使ってすべての組織にアクセスできてしまいます。この脆弱性により、1つの組織へのアクセス権を持つ認証済みGUIユーザーが、notebookのセル内でquery()プラグインを使用し、自分がアクセス権を持たない他の組織に対してVQLクエリを実行できます。他の組織内でのユーザーの権限は、notebookが存在する組織内での権限と同じになります。

Dgraphはオープンソースの分散型GraphQLデータベースです。バージョン25.3.1以前には、認証なしでアクセス可能な/debug/pprof/cmdlineエンドポイントがデフォルトのmuxに登録されており、管理者トークンを含む完全なプロセスコマンドラインが露出する認証されていない資格情報漏洩の脆弱性が存在していました。この管理者トークンは、--security "token=..." 起動フラグで設定されていました。攻撃者は漏洩したトークンを取得し、X-Dgraph-AuthTokenヘッダーで再利用することで、adminAuthHandlerのトークン検証を回避し、/admin/config/cache_mbなどの管理者専用エンドポイントに不正アクセスできます。これにより、信頼されていない第三者がアクセス可能なAlpha HTTPポートを通じて、構成変更や運用制御操作などの不正な特権管理者アクセスを行うことが可能となりました。本問題はバージョン25.3.2で修正されました。

Advance Gift Shop Pro Script 2.0.3には、認証されていない攻撃者が検索パラメータを通じて悪意のあるコードを注入し、任意のSQLクエリを実行できるSQLインジェクションの脆弱性があります。攻撃者は検索リクエストの's'パラメータに細工されたSQLペイロードを送信することで、バージョン情報やその他のデータを含む機密データベース情報を抽出できます。

Pegasus CMS 1.0には、extra_fields.phpプラグインにリモートコード実行の脆弱性が存在し、認証されていない攻撃者が安全でないeval機能を悪用して任意のコマンドを実行できます。攻撃者はsubmit.phpエンドポイントに対して、actionパラメータに悪意のあるPHPコードを含むPOSTリクエストを送信することで、コードを実行し対話型シェルを取得可能です。

NEMUには、RISC-VハイパーバイザのCSR処理に実装上の欠陥があり、henvcfg[7:4]（CBIE/CBCFE/CBZE関連フィールド）がmenvcfg[7:4]に基づいて誤ってマスクおよび更新されます。そのため、マシンモードでmenvcfgへの書き込みがハイパーバイザの環境設定を暗黙的に変更する可能性があります。この欠陥により、仮想化設定が不正に適用され、仮想化コンテキスト（V=1）でキャッシュブロック管理命令を実行する際に予期しないトラップやサービス拒否が発生する恐れがあります。

nimiq-block は Nimiq の Rust 実装で使用されるブロックプリミティブを含んでいます。`SkipBlockProof::verify` はそのクォーラムチェックを `BitSet.len()` を使って計算し、その後 `BitSet` のインデックスを反復処理して、各 `usize` インデックスをスロット検索のために `u16`（`slot as u16`）にキャストします。バージョン 1.3.0 より前では、攻撃者が 65536 間隔で範囲外のインデックスを含む `MultiSignature.signers` を持つ `SkipBlockProof` を検証させることができました。これらのインデックスが `len()` を膨らませつつ、集約時には同じ範囲内の `u16` スロットに衝突します。これにより、悪意のあるバリデーターは実際の署名者スロット `2f+1` よりはるかに少ないスロット数で、単一の BLS 署名を同じ係数で乗算することでスキップブロック証明の検証を通過させることが可能になります。この脆弱性の修正は v1.3.0 に含まれており、既知の回避策は存在しません。

攻撃者は通知リクエストを送信することで、新しいセカンダリドメインをbindバックエンドに追加させることができます。しかし、そのバックエンドの設定を無効なものに更新させるため、次回の再起動時にバックエンドが動作しなくなり、管理者が手動で修正操作を行う必要があります。

ToToLink A3300R ファームウェア v17.0.0cu.557_B20221024 において、/cgi-bin/cstecgi.cgi の stunEnable パラメータを介して攻撃者が任意のコマンドを実行できる脆弱性が発見されました。

Roxy-WIは、Haproxy、Nginx、Apache、Keepalivedサーバーを管理するためのウェブインターフェースです。バージョン8.2.8.2まで（含む）において、LDAP認証が有効になっている場合、Roxy-WIはユーザーが入力したログインユーザー名をLDAP検索フィルター文字列に直接連結し、LDAPの特殊文字をエスケープしません。認証されていない攻撃者は、ユーザー名フィールドにLDAPフィルターメタ文字を注入して検索クエリを操作でき、ディレクトリが意図しないユーザーエントリを返すようにし、認証を完全に回避して有効なパスワードを知らなくてもアプリケーションにアクセスできます。公開時点では、既知の修正パッチは存在しません。

カスタムLuaコードがパケットキャッシュ上でgetDomainListByAddress()またはgetAddressListByDomain()を呼び出すと、キャッシュされた細工された応答によって境界外読み取りが発生する可能性があります。

FlatpakはLinuxのアプリケーションサンドボックスおよび配布フレームワークです。バージョン1.16.4以前のFlatpakポータルはsandbox-exposeオプションでパスを受け入れていましたが、これらのパスはアプリが制御するシンボリックリンクであり、任意のパスを指すことができました。Flatpak runは解決されたホストのパスをサンドボックス内にマウントします。これにより、アプリがすべてのホストファイルにアクセスできるようになり、ホストコンテキストでコードを実行する手段として悪用される可能性がありました。この脆弱性はバージョン1.16.4で修正されました。

Oracle Enterprise ManagerのOracle Enterprise Manager Base Platform製品（コンポーネント：Event Management）における脆弱性です。影響を受けるサポート対象バージョンは13.5および24.1です。HTTP経由でネットワークアクセスを持つ高権限の攻撃者が容易に悪用可能な脆弱性により、Oracle Enterprise Manager Base Platformが侵害される可能性があります。この脆弱性はOracle Enterprise Manager Base Platformに存在しますが、攻撃は追加の製品に大きな影響を及ぼす可能性があります（スコープ変更）。この脆弱性の攻撃が成功すると、Oracle Enterprise Manager Base Platformを乗っ取る可能性があります。CVSS 3.1基本スコアは9.1で、機密性、完全性、可用性に影響を及ぼします。CVSSベクターは(CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H)です。

Thymeleafは、ウェブおよびスタンドアロン環境向けのサーバーサイドJavaテンプレートエンジンです。バージョン3.1.3.RELEASE以前には、式の実行メカニズムにセキュリティバイパスの脆弱性が含まれていました。このライブラリは式インジェクションを防ぐためのメカニズムを提供していますが、アクセス可能なオブジェクトの範囲を適切に制限できておらず、テンプレート内から特定の潜在的に機密性の高いオブジェクトに到達できてしまいます。アプリケーション開発者が未検証のユーザー入力をテンプレートエンジンに直接渡した場合、認証されていないリモート攻撃者がライブラリの保護を回避してサーバーサイドテンプレートインジェクション（SSTI）を実行する可能性があります。この問題はバージョン3.1.4.RELEASEで修正されています。

Thymeleafは、ウェブおよびスタンドアロン環境向けのサーバーサイドJavaテンプレートエンジンです。バージョン3.1.3.RELEASEおよびそれ以前には、式実行機構におけるセキュリティバイパスの脆弱性が存在していました。このライブラリは式のインジェクションを防止する機構を提供していますが、不正な式の実行を許す特定の構文パターンを適切に無効化できていません。アプリケーション開発者が無検証のユーザー入力をテンプレートエンジンに直接渡した場合、認証されていないリモート攻撃者がライブラリの保護を回避して、サーバーサイドテンプレートインジェクション（SSTI）を実行する可能性があります。この問題はバージョン3.1.4.RELEASEで修正されています。

WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン29.0までのすべてのバージョンにおいて、AVideoの`test.php`に対する不完全な修正が存在していました。wgetには`escapeshellarg`が追加されていますが、`file_get_contents`および`curl`のコードパスはサニタイズされておらず、URL検証用の正規表現`/^http/`では`httpevil[.]com`のような文字列も許容されてしまいます。コミット78bccae74634ead68aa6528d631c9ec4fd7aa536に更新された修正が含まれています。

Flowiseは、カスタマイズされた大規模言語モデルフローを構築するためのドラッグ＆ドロップのユーザーインターフェースです。バージョン3.1.0以前には、CSV_Agentsクラスのrunメソッドに特定の脆弱性が存在していました。この問題は、LLMが生成したPythonスクリプトの評価時に適切なサンドボックス処理が行われていなかったことに起因します。攻撃者はこの脆弱性を悪用して、サーバーを実行しているユーザーのコンテキストでコードを実行することが可能でした。プロンプトインジェクション技術を用いることで、認証されていない攻撃者がCSV Agentノードを使用してチャットフローにプロンプトを送信し、LLMに悪意のあるPythonスクリプトを応答させ、Flowiseサーバー上で攻撃者が制御するコマンドを実行させる可能性がありました。この脆弱性はバージョン3.1.0で修正されています。

Flowiseは、カスタマイズされた大規模言語モデルのフローを構築するためのドラッグ＆ドロップ式ユーザーインターフェースです。バージョン3.1.0以前には、Airtable_Agentsクラスのrunメソッドに特定の脆弱性が存在していました。この問題は、LLMが生成したPythonスクリプトを評価する際に適切なサンドボックス処理が行われていなかったことに起因します。プロンプトインジェクション技術を利用すると、認証されていない攻撃者がAirtableエージェントノードを使用してチャットフローにプロンプトを送信でき、その結果、LLMが悪意のあるPythonスクリプトで応答し、Flowiseサーバー上で攻撃者が制御するコマンドを実行させる可能性があります。この脆弱性はバージョン3.1.0で修正されました。

Flowiseはカスタマイズされた大規模言語モデルのフローを構築するためのドラッグ＆ドロップユーザーインターフェースです。バージョン3.1.0以前のFlowise Cloudのアカウント登録エンドポイントには、不適切なマスアサインメント（JSONインジェクション）脆弱性が存在しており、認証されていない攻撃者がアカウント作成時にサーバー管理フィールドおよびネストされたオブジェクトを注入できる状態でした。これによりクライアント側で所有権のメタデータ、タイムスタンプ、組織の関連付け、および役割マッピングを操作でき、多テナント環境における信頼境界が破壊される恐れがありました。この脆弱性はバージョン3.1.0で修正されています。

Flowiseはカスタマイズ可能な大規模言語モデルのフローを構築するためのドラッグ＆ドロップユーザーインターフェースです。バージョン3.1.0以前のFlowiseには、認証不要で発生する重大なリモートコマンド実行（RCE）脆弱性が存在します。この脆弱性は、FILE-STORAGE::キーワードとNODE_OPTIONS環境変数の注入を組み合わせたパラメータオーバーライド回避によって悪用されます。これにより、コンテナ化されたFlowiseインスタンス内で任意のシステムコマンドをroot権限で実行可能であり、単一のHTTPリクエストだけで認証やインスタンスの詳細な知識を必要としません。この脆弱性はバージョン3.1.0で修正されています。

Flowiseはカスタマイズ可能な大規模言語モデルのフローを構築するためのドラッグ＆ドロップユーザーインターフェースです。3.1.0以前のバージョンでは、この脆弱性によりリモートの攻撃者がFlowiseAI Flowiseの影響を受けるインストールで認証を回避できます。この脆弱性を悪用するために認証は不要です。この脆弱性はAccountServiceクラスのresetPasswordメソッドに存在します。ユーザーアカウントに対して実際にパスワードリセットトークンが生成されているかどうかを確認するチェックが行われていません。デフォルトでは、ユーザーアカウントに保存されているリセットトークンの値はnullか、以前にパスワードをリセットしている場合は空文字列となっています。攻撃者はユーザーのメールアドレスを知っている場合、nullまたは空文字列のリセットトークン値を含むリクエストを"/api/v1/account/reset-password"エンドポイントに送信して、任意のパスワードにリセットできます。この脆弱性はバージョン3.1.0で修正されました。

WWBN AVideoはオープンソースの動画プラットフォームです。バージョン29.0以下では、CloneSiteプラグインの`cloneServer.json.php`エンドポイントがユーザーからの入力（`url`パラメータ）を適切にサニタイズせずにシェルコマンドを構築していました。この入力は`wget`コマンドに直接連結され、`exec()`を介して実行されるため、コマンドインジェクションの脆弱性が発生します。攻撃者はシェルのメタキャラクター（例：`;`）を用いて意図されたURLコンテキストを破り、任意のシェルコマンドを注入することができます。これによりサーバー上でリモートコード実行（RCE）が可能になります。この問題はコミット473c609fc2defdea8b937b00e86ce88eba1f15bbで修正されました。

Google Chrome 147.0.7727.117以前のDevToolsにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してレンダラープロセスを侵害し、サンドボックスからの脱出を実行する可能性がありました。

Android版Google Chromeの147.0.7727.117以前において、GPUの境界外読み取りが発生し、それによりレンダラプロセスが侵害される可能性がありました。リモートの攻撃者は細工されたHTMLページを介してサンドボックスから脱出できる恐れがあります。

OAuth2 ProxyはOAuth2プロバイダを使用して認証を提供するリバースプロキシです。バージョン7.15.2より前のバージョンには、OAuth2 Proxyがauth_requestスタイルの統合（nginx auth_requestなど）で使用され、かつ--ping-user-agentが設定されているか、または--gcp-healthchecksが有効になっているデプロイメントにおいて、設定に依存した認証回避の脆弱性が存在しました。影響を受ける構成では、OAuth2 Proxyは要求されたパスに関係なく、設定されたヘルスチェックのUser-Agent値を持つ任意のリクエストを成功したヘルスチェックとして扱います。そのため、認証されていない遠隔の攻撃者が認証を回避し、保護された上流リソースにアクセスできる可能性があります。auth_requestスタイルのサブリクエストを使用していない、または--ping-user-agent/--gcp-healthchecksを有効にしていないデプロイメントは影響を受けません。この問題はバージョン7.15.2で修正されました。

ElectronはJavaScript、HTML、およびCSSを使用してクロスプラットフォームのデスクトップアプリケーションを作成するためのフレームワークです。バージョン38.8.6、39.8.4、40.8.4、および41.0.0より前のバージョンでは、nodeIntegrationInWorkerというwebPreferenceがすべての構成で正しくスコープされていませんでした。特定のプロセス共有シナリオにおいて、nodeIntegrationInWorkerをfalseに設定したフレームで生成されたワーカーが、依然としてNode.jsの統合を受ける可能性がありました。nodeIntegrationInWorkerを有効にしているアプリのみが影響を受けます。nodeIntegrationInWorkerを使用していないアプリは影響を受けません。この問題はバージョン38.8.6、39.8.4、40.8.4、および41.0.0で修正されています。

BrunoはAPIの探索とテストのためのオープンソースIDEです。バージョン3.2.1以前のBrunoは、axiosのnpmパッケージの改ざん版を含むサプライチェーン攻撃の影響を受けており、その中でクロスプラットフォームのリモートアクセス型トロイの木馬（RAT）を展開する隠れた依存関係が導入されていました。2026年3月31日00時21分UTCから約03時30分UTCの間にnpm installを実行した@usebruno/cliのユーザーは影響を受けている可能性があります。バージョン3.2.1にアップグレードすることを推奨します。

fast-jwtは高速なJSON Web Token（JWT）実装を提供します。バージョン6.1.0以前では、fast-jwt/src/crypto.js内のpublicKeyPemMatcher正規表現が、キー文字列の先頭の空白文字によって無効化される^アンカーを使用していました。その結果、JWTアルゴリズム混乱攻撃が再び可能となっていました。

Dgraphはオープンソースの分散型GraphQLデータベースです。25.3.1以前のバージョンでは、restoreTenant管理者ミューテーションが認可ミドルウェア設定（admin.go）から欠落しており、適切に認証されていませんでした。同様のrestoreミューテーションがGuardian-of-Galaxy認証を必要とするのに対し、restoreTenantはミドルウェアなしで実行されていました。このミューテーションは攻撃者が制御するバックアップのソースURL（ローカルファイルシステムへのアクセスを含むfile://）、S3/MinIO認証情報、暗号化キーのファイルパス、Vault認証情報のファイルパスを受け入れます。認証されていない攻撃者はデータベース全体を上書きしたり、サーバー側のファイルを読み取ったり、SSRF攻撃を実行したりすることが可能でした。この脆弱性は25.3.1で修正されました。

Jellyfinはオープンソースのセルフホスト型メディアサーバーです。バージョン10.11.7より前のバージョンには、StreamOptionsクエリパラメータの解析機構を通じたffmpeg引数インジェクションによって認証なしで任意のファイルを読み取れる脆弱性が含まれていました。StreamingHelpers.csのParseStreamOptionsメソッドは、検証を行わずに任意の小文字のクエリパラメータを辞書に追加し、レベルコントローラのRegularExpression属性を回避します。その結果、サニタイズされていない値が直接ffmpegのコマンドラインに連結されます。drawtextフィルターのtextfile引数を注入することにより、攻撃者は/etc/shadowなどの任意のサーバーファイルを読み取り、その内容を動画ストリームのレスポンス内にテキストとして描画し、外部に流出させることが可能です。脆弱な/Videos/{itemId}/streamエンドポイントにはAuthorize属性がなく認証なしで悪用され得ますが、itemのGUIDは疑似乱数で生成され、取得には認証ユーザーが必要となっています。この問題はバージョン10.11.7で修正されました。

CI4MSは、RBAC認証とテーマサポートを備えた本番対応のモジュラーアーキテクチャを提供するCodeIgniter 4ベースのCMSスケルトンです。バージョン0.31.2.0以前のアプリケーションでは、システム設定の会社情報内でユーザー制御の入力を適切にサニタイズできていませんでした。複数の管理者用設定フィールドが攻撃者制御の入力を受け入れ、サーバー側に保存され、その後適切な出力エンコーディングなしでレンダリングされます。これらの値はデータベースに保存され、主にメインのランディングページのような公開向けページで安全でない形で表示されます。管理ダッシュボードではこの脆弱性が実行されず、この脆弱性は公開フロントエンドのみに影響を及ぼします。この脆弱性はバージョン0.31.2.0で修正されています。

fast-jwtは高速なJSON Web Token（JWT）実装を提供します。バージョン0.0.1から6.2.0未満までの間に、不適切に異なるトークン用に一意のキーを作成しないカスタムcacheKeyBuilderメソッドを設定すると、キャッシュの衝突が発生する可能性があります。これにより、検証プロセス中にトークンが誤って判別され、有効なトークンが別の有効なトークンのクレームを返すため、誤ったトークンに基づいてユーザーが他のユーザーとして誤認されるおそれがあります。バージョン6.2.0にはこの問題を修正するパッチが含まれています。