脆弱性情報（JVN）検索・一覧

n8n-MCPは、AIアシスタントがn8nノードのドキュメント、プロパティ、および操作にアクセスできるようにするMCPサーバーです。バージョン2.57.4以前では、ENABLE_MULTI_TENANT=trueのマルチテナントHTTPモードにおいて、認証されたテナントがテナントスコープに制限されず、デフォルトスコープのworkflow_versionsバックアップにアクセスできてしまう可能性がありました。これにより、以前のシングルテナントの導入やマイグレーション時のworkflow-versionバックアップが露呈したり削除されたりするリスクが生じていました。この問題はバージョン2.57.4で修正されています。

HCL DFXAnalyticsは、内部ファイルパスの情報漏洩の脆弱性に影響を受けています。このアプリケーションのダッシュボードは、未処理のエラーメッセージやシステムログ、デバッグ出力を通じて、内部ファイル構造やディレクトリパスに関する機密情報を誤って漏洩してしまいます。これにより、リモートの攻撃者が基盤となるサーバー環境をマッピングし、さらなる悪用のために標的を特定する可能性があります。

Ciliumはネットワーキング、可観測性、およびセキュリティのソリューションです。バージョン1.19.0から1.19.4にかけて、標準的なKubernetesのNetworkPolicy仕様でPodやNamespaceのセレクターを使わないCIDRベースのipBlockルールを使用した場合に、Ciliumがデフォルトの'any'値ではなくカスタムのclusterNameで設定されていると、誤ってワイルドカードのNamespace許可ルールを生成してしまいます。パーサーがセレクターレスのピア定義に対して誤ってPodセレクターをインスタンス化し、ポリシー対象のNamespace内の他のワークロードからのトラフィックを許可する状態になっていました。この問題はバージョン1.19.5で修正されています。

Cisco Identity Services Engine（ISE）および Cisco ISE Passive Identity Connector（ISE-PIC）に存在する脆弱性により、認証済みのリモート攻撃者が基盤となるオペレーティングシステムに対してパス・トラバーサル攻撃を実行し、任意のファイルを読み取ったり削除したりする可能性があります。この脆弱性を悪用するには、攻撃者が有効な管理者資格情報を持っている必要があります。この脆弱性は、ユーザーが提供した入力の不適切な検証が原因です。攻撃者は細工されたHTTPリクエストを影響を受けるシステムに送信することで、この脆弱性を悪用できます。攻撃に成功すると、攻撃者は機密ファイルにアクセスしたり、影響を受けるシステム上の任意のファイルを削除したりすることが可能になります。

CVE-2026-33445は、バージョン14.55以前のSecure Accessサーバーに存在するメモリ管理の脆弱性です。トンネルプロトコルに関して深い知識と完全な制御権を持つ攻撃者は、この脆弱性を悪用してサーバーに対して持続的なDoS攻撃を実行できます。

150.0.7871.125より前のGoogle Chromeにおいて、Skiaの未初期化使用によりリモートの攻撃者が細工されたHTMLページを通じてプロセスメモリから潜在的に機密性の高い情報を取得できる可能性がありました。（Chromiumセキュリティの深刻度は高いです）

150.0.7871.125より前のGoogle Chromeでは、HTML-in-Canvasのポリシー強制が不十分であったため、リモートの攻撃者が細工されたHTMLページを介して同一生成元ポリシーを回避することが可能でした。（Chromiumのセキュリティ重大度は高です）

Google Chrome 150.0.7871.125より前のV8における未初期化の使用によって、リモート攻撃者が細工されたHTMLページを介してプロセスメモリから潜在的に機密性の高い情報を取得できる可能性がありました。（Chromiumセキュリティの重大度：高です）

Windows版Google Chromeのバージョン150.0.7871.125以前のMediaにおいて、信頼されていない入力の検証が不十分であったため、レンダラープロセスを乗っ取ったリモート攻撃者が細工されたHTMLページを介してプロセスメモリから潜在的に機密性の高い情報を取得できる可能性がありました。（Chromiumセキュリティの重大度は高とされています）

Google Chrome 150.0.7871.125未満のV8における不適切な実装により、リモート攻撃者が細工されたHTMLページを介して同一生成元ポリシーを回避できる可能性がありました。（Chromiumセキュリティの深刻度：高）

Google Chrome 150.0.7871.125以前のNavigationにおける信頼できない入力の検証不足により、リモート攻撃者が細工されたHTMLページを介してレンダラープロセスを侵害し、ナビゲーション制限を回避できる問題です。（Chromiumセキュリティ重大度：中）

Apache IvyのPackagerResolverは、オンラインのアーティファクトをダウンロードし、packager.xmlファイルで定義された形式でそれらを（再）パッケージ化することができます。この再パッケージ化はAntスクリプトによって行われ、設定された「buildRoot」ディレクトリのサブディレクトリに保存されます。このサブディレクトリは、組織名、名前、バージョンなどのモジュール座標に基づいて計算されます。もし座標のいずれかに「../」のシーケンスが含まれている場合（これは一般的にIvyの座標で有効な文字です）、設定された「buildRoot」ディレクトリから抜け出して他のファイルを上書きできてしまいます。この脆弱性を悪用するためには、攻撃者がパッケージャリポジトリにアクセスし、ivy.xmlファイルの座標に「../」のシーケンスを含むように追加または変更する必要があります。Apache Ivyのバージョン2.0.0から2.5.3（含む）を使用しているユーザーは、Ivy 2.6.0にアップグレードすることを推奨します。

CVE-2026-33443は、14.55以前のSecure Accessサーバーに存在するメモリ管理のエラーです。トンネルプロトコルに関する深い知識と完全な制御権を持つ攻撃者が、サーバーに対して永続的なDoS攻撃を仕掛けることが可能です。

Dell PowerScale OneFS のバージョン 9.5.0.0 から 9.10.1.7 およびバージョン 9.11.0.0 から 9.13.0.2 には、ログファイルに機密情報が挿入される脆弱性が含まれています。低い権限を持つローカルアクセス可能な攻撃者がこの脆弱性を悪用する可能性があり、その結果、情報漏えいが発生する恐れがあります。

CVE-2026-40953は、Secure Accessクライアントのバージョン14.55以前に存在した証明書解析機能におけるヒープオーバーフローの脆弱性です。ローカルアクセス権および管理者権限を持つ攻撃者は、自身が制御するクライアントに対してサービス拒否攻撃を実行できます。