脆弱性情報（JVN）検索・一覧

IBM i 7.6、7.5、7.4、および7.3はストアドクロスサイトスクリプティングの脆弱性を有しています。この脆弱性により、認証されたユーザーがWeb UIに任意のJavaScriptコードを埋め込むことが可能となり、本来の機能が変更されることで、信頼されたセッション内で認証情報が漏洩する可能性があります。

IBM i 7.6、7.5、7.4、および7.3において、リモートの攻撃者が境界外読み取りを行い、サービス拒否を引き起こす可能性があります。

IBM i 7.6、7.5、7.4、および 7.3 には、ユーザーが提供したパス入力の検証が不適切であるため、リモートの認証済み攻撃者が機密情報を取得できる可能性があります。

IBM i 7.6、7.5、7.4、および 7.3 には、認証されたリモート攻撃者が不適切な認可によりセキュリティ制限を回避できる脆弱性があります。

IBM i 7.6、7.5、7.4、および 7.3 には、マルチパートパーサーの解釈の不一致があり、リモートの認証済み攻撃者がセキュリティ制限を回避できてしまう可能性があります。

IBM i 7.6、7.5、7.4、および7.3では、認証された攻撃者がリクエスト処理中の境界チェックにおける整数オーバーフローにより、NetServerサーバースレッドの例外を強制的に発生させることがあります。攻撃者はこの脆弱性を悪用して、一時的なサービス拒否（DoS）状態を引き起こす可能性があります。

IBM i 7.6、7.5、7.4、および7.3は、XML外部エンティティを不適切に処理するため、リモートの認証済み攻撃者が機密情報を取得する可能性があります。

シンキングリード株式会社が提供するF-RevoCRMには、次の脆弱性が存在します。 ・クロスサイトスクリプティング（CWE-79）- CVE-2026-71368 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。 報告者：株式会社VLCセキュリティラボ ブイ ミン ダン 氏

Synology Inc.が提供するSynology Assistantには、次の脆弱性が存在します。 ・インストール時の不適切なファイルアクセス権設定（CWE-276）- CVE-2026-4793 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。 報告者：GMOサイバーセキュリティ byイエラエ株式会社 松本 一真 氏

CAIコンテンツクレデンシャルは、権限昇格を引き起こす可能性のあるサーバーサイドリクエストフォージェリ（SSRF）脆弱性の影響を受けています。この問題を悪用するには、被害者が悪意のあるURLを訪問するか、改ざんされたウェブページとやり取りするなどのユーザー操作が必要です。影響範囲が変更されています。

CAI Content Credentialsは、整数オーバーフローまたはラップアラウンドの脆弱性の影響を受けており、これによりアプリケーションでサービス拒否（DoS）が発生する可能性があります。攻撃者はこの脆弱性を悪用してアプリケーションをクラッシュさせ、サービス拒否の状態を引き起こす可能性があります。この問題を悪用するためにユーザーの操作は必要ありません。

CAIコンテンツクレデンシャルには、リソース消費の制御不良による脆弱性が存在し、これによりアプリケーションがサービス拒否（DoS）状態になる可能性があります。攻撃者はこの脆弱性を悪用してシステムリソースを枯渇させ、アプリケーションのサービス拒否状態を引き起こすことが可能です。この問題を悪用するためにユーザーの操作は必要ありません。

CAIコンテンツクレデンシャルは、整数のアンダーフロー（ラップまたはラップアラウンド）脆弱性の影響を受けており、これによりアプリケーションがサービス拒否（DoS）を引き起こす可能性があります。攻撃者はこの脆弱性を悪用してアプリケーションをクラッシュさせ、サービス拒否の状態を発生させることができます。この問題を悪用するためにユーザーの操作は必要ありません。

CAIコンテンツクレデンシャルは、不適切な入力検証の脆弱性の影響を受けており、これによりセキュリティ機能を回避される可能性があります。攻撃者はこの脆弱性を悪用して、セキュリティ対策を回避し、不正な書き込みアクセスを取得できます。この問題を悪用するには、被害者が悪意を持って作成されたURLを訪問するか、改ざんされたウェブページと対話する必要があります。

CAIコンテンツクレデンシャルは、不適切な証明書検証の脆弱性の影響を受けており、これによりセキュリティ機能をバイパスされる可能性があります。攻撃者はこの脆弱性を悪用してセキュリティ対策を回避し、許可されていない書き込みアクセスを取得することができます。この問題を悪用するには、被害者が悪意のある巧妙に作成されたURLを訪問したり、改ざんされたウェブページとやり取りしたりするなどのユーザーの操作が必要です。

CAIコンテンツクレデンシャルは、アプリケーションのサービス拒否につながる制御されていないリソース消費の脆弱性の影響を受けています。攻撃者はこの脆弱性を悪用してシステムリソースを枯渇させ、アプリケーションをサービス拒否状態にさせる可能性があります。この問題を悪用する際にユーザーの操作は必要ありません。

CAIコンテンツクレデンシャルには、整数オーバーフローまたはラップアラウンドの脆弱性が存在し、アプリケーションのサービス拒否を引き起こす可能性があります。攻撃者はこの脆弱性を悪用してアプリケーションをクラッシュさせ、サービス拒否の状態を発生させることができます。この問題を悪用する際にユーザーの操作は必要ありません。

CAIコンテンツクレデンシャルは整数オーバーフローまたはラップアラウンドの脆弱性の影響を受けており、これによりアプリケーションのサービス拒否（DoS）を引き起こす可能性があります。攻撃者はこの脆弱性を悪用してアプリケーションをクラッシュさせ、サービス拒否の状態を引き起こすことができます。この問題を悪用するためにユーザーの操作は必要ありません。

CAIコンテンツクレデンシャルズは、パス名の制限不備により制限付きディレクトリへのパストラバーサル（パス・トラバーサル）脆弱性が存在し、これによって任意のファイルシステムを読み取ることが可能になる恐れがあります。攻撃者はこの脆弱性を悪用し、本来アクセスできない機密ファイルやディレクトリにアクセスできます。この問題を悪用するためには、被害者が悪意のあるURLを訪問するか、改ざんされたウェブページと対話するなどのユーザー操作が必要です。

Apache AirflowのXCom `GET /api/v2/{...}/xcomEntries/{key}?deserialize=true` エンドポイントは、`_check_forbidden_xcom_keys`というガードがない状態で文字列リテラルのペイロードを `BaseXCom.deserialize_value` に渡しており、XComの書き込みおよび読み取り権限を持つ認証済みAPIユーザーがAPIサーバー上で任意の `airflow.*` クラスをインスタンス化できる（CWE-502）問題があります。認証されたユーザーがXCom値を書き込み、その後 `deserialize=true` を指定して読み戻すことで危険なインスタンス化が引き起こされます。ユーザーには、予約済みのXComシリアライズキーをJSON文字列リテラルとして提出することを拒否するapache-airflow 3.3.1以降へのアップグレードを推奨します。

Apache Airflowのシークレットマスカーは、Rendered Templates UIで値が辞書型の`var.json`変数の値をマスクしませんでした。辞書型の値が`isinstance(str)`ガードに失敗したため、JSON変数として保存され、テンプレート内で`var.json`経由で参照されたシークレットが、そのタスクのRendered Templatesビューにアクセスできるユーザーに平文で表示されてしまいました。ユーザーは、型にかかわらずネストされた変数の値をマスクするapache-airflow 3.3.1以降にアップグレードすることを推奨します。

Windows DHCPサーバーにおける整数のアンダーフロー（ラップまたはラップアラウンド）が原因で、不正な攻撃者が隣接するネットワーク上で情報を開示できる可能性があります。

Windows DHCPサーバーにおける整数のアンダーフロー（ラップまたはラップアラウンド）は、不正な攻撃者が隣接するネットワーク上で情報を開示できる原因となります。

Windows DHCP サーバーの整数アンダーフロー（ラップまたはラップアラウンド）により、不正な攻撃者が隣接するネットワークを通じて情報を漏洩させる可能性があります。

Windows DHCP サーバーの整数アンダーフロー（ラップまたはラップアラウンド）により、不正な攻撃者が隣接するネットワークを越えて情報を漏洩させる可能性があります。

Windows DHCPサーバーにおける整数のアンダーフロー（ラップまたはラップアラウンド）が、未承認の攻撃者によって隣接するネットワーク上で情報漏洩を引き起こす可能性があります。

Windows DHCPサーバーにおける整数のアンダーフロー（ラップまたはラップアラウンド）により、認可されていない攻撃者が隣接するネットワーク上で情報を漏洩させる可能性があります。

Windows DHCPサーバーにおける整数のアンダーフロー（ラップまたはラップアラウンド）が発生することで、不正な攻撃者が隣接するネットワークを介して情報を開示できる可能性があります。

Windows DHCPサーバーにおける整数アンダーフロー（ラップまたはラップアラウンド）が原因で、不正な攻撃者が隣接するネットワークを経由して情報を漏洩させる可能性があります。

Microsoft Office Outlookの不十分に保護された認証情報により、不正な攻撃者がネットワーク上でなりすましを行うことが可能です。

「.NETにおけるHTTPリクエストの不一致な解釈（HTTPリクエスト／レスポンススマグリング）」により、認証されていない攻撃者がネットワーク経由でセキュリティ機能を回避できる可能性がある問題です。

不適切な保存または転送前の機密情報の削除により、不正な攻撃者がネットワークを介して情報を漏洩させることが可能となる。.NETにおいてこの問題が発生する。

信頼されていない制御領域からの機能を.NETに組み込むことで、認可されていない攻撃者がネットワークを通じて情報を漏洩させる可能性があります。

Microsoft Exchange Serverにおける権限検証の欠如により、認可された攻撃者がネットワーク経由でセキュリティ機能を回避できる状態になります。

Microsoft Office Wordの境界外読み取りにより、未許可の攻撃者がローカル情報を漏洩させる可能性があります。