脆弱性情報（JVN）検索・一覧

HCL iControlはCookie属性の欠落に関する脆弱性の影響を受けました。アプリケーションでは、SecureやSameSiteを含むいくつかの重要なCookie属性が欠落していることが確認されました。また、path属性がルートに設定されています。

HCL iControlはセキュリティヘッダーが欠如している脆弱性の影響を受けました。このため、最新のウェブブラウザの組み込みXSSフィルタリング機能を有効にすることでクロスサイトスクリプティング（XSS）攻撃が可能となります。

HCL iControl v4.0.0は、未処理例外によりスタックトレース情報が漏洩する脆弱性の影響を受けていました。このエラーは、アプリケーションのJavaScriptコード内で未定義のプロパティにアクセスしようとしたために発生します。具体的には、コードが未定義のオブジェクトからdashboard keyプロパティを読み取ろうとしています。この問題は、オブジェクトが欠落しているか、正しく初期化されていないことが原因である可能性が高いです。

SWUpdateのmongoose_multipart.cにあるマルチパートアップロードパーサーには整数アンダーフローの脆弱性があります。認証されていない攻撃者が、不正に細工されたマルチパート境界と制御されたTCPストリームのタイミングを持つHTTP POSTリクエストを/uploadに送信することで、サービス拒否を引き起こす可能性があります。攻撃者は、バッファ長が特定の範囲内にある場合にmg_http_multipart_continue_wait_for_chunk()関数で整数アンダーフローを発生させ、割り当てられた受信バッファを越えてローカルIPCソケットへのヒープの境界外読み取りを引き起こすことができます。

Password Pusherは、ウェブ上で機密情報を安全にやり取りするためのオープンソースアプリケーションです。バージョン1.69.3および2.4.2以前のOSS Password Pusherには、特定の設定下で一般的なJSON APIの作成パスを通じて認証されていないファイルタイプのプッシュ作成が可能となるセキュリティ問題がありました。これにより、ファイルプッシュ作成の意図された認証境界を回避できる可能性がありました。この問題はバージョン1.69.3および2.4.2で修正されています。

Nextcloudはオープンソースのコンテンツコラボレーションプラットフォームです。バージョン4.3.0から5.2.7未満のバージョンにおいて、削除されたコラボレーターが影響を受けるフォームのアップロード済み回答者ファイルに対して不正に読み取りアクセス権を保持してしまう問題があります。この問題は、そのユーザーが以前に結果アクセス権を持っていたフォームのアップロードファイルに限定されます。この問題はバージョン5.2.7で修正されました。

Drupal avatar_uploader 7.x-1.0-beta8 には、認証されていない攻撃者が file パラメータを操作することで悪意のあるスクリプトを注入できるリフレクト型クロスサイトスクリプティングの脆弱性があります。攻撃者は avatar_uploader.pages.inc の file パラメータにスクリプトペイロードを含む URL を作成し、それによって被害者のブラウザで任意の JavaScript を実行させることができます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。wifi: rtw88: rtw_set_supported_band()でdevm_kmemdup()を使用することでコードを簡素化し、デバイス管理メモリアロケーションを利用しています。これによりrtw_register_hw()のメモリリークも修正されました。エラーパスでサポートされているバンドが解放されていませんでしたが、この問題を修正しています。この修正は、コミット145df52a8671（"wifi: rtw89: rtw89_core_set_supported_bandをdevm_*を使うように変換"）からコピーされています。

JavaScriptエンジンのJITコンポーネントにおいて、JITが誤ってコンパイルされる脆弱性があります。この問題はFirefox 151.0.3で修正されました。

TP-Link Tapo C200 v5には、Authorizationヘッダーフィールドの長さを適切に検証しないことによるRTSP認証処理のスタックベースのバッファオーバーフローの脆弱性が存在し、細工された認証リクエストによって引き起こされる可能性があります。この脆弱性を悪用されると、影響を受けるRTSPコアサービスプロセスがクラッシュし、自動的にシステムが再起動してサービス拒否（DoS）状態を引き起こします。その結果、サービスが再起動するまで正当なユーザーはカメラのライブ映像ストリームや管理インターフェースにアクセスできなくなります。

Kohaのバージョン25.11までには、Z39.50/SRUサーバー設定を介したサーバーサイドリクエストフォージェリ（SSRF）の脆弱性が含まれていました。この脆弱性により、認証された攻撃者が内部ネットワークのスキャンを実行でき、サーバーの応答時間を分析して稼働中のサービスを特定することが可能になります。

libxls バージョン 1.6.3 までには、OLE コンテナパーサに未初期化メモリの使用脆弱性があります。read_MSAT() でマスターセクター割り当てテーブル（MSAT）のために割り当てられたメモリは ole2_validate_sector_chain() によって使用される前に完全に初期化されておらず、細工された XLS ファイルを処理する際にアプリケーションがクラッシュしたり、潜在的に情報漏洩を引き起こしたりする可能性があります。

libxls 1.6.3において、破損したXLSファイルを解析する際に未初期化メモリが使用される脆弱性が存在します。この問題はxls_parseWorkBook()を経由して到達可能であり、OLEレイヤー（ole2_read）から発生する未初期化のヒープメモリが原因です。この欠陥はMemorySanitizer（MSAN）で検出可能であり、未定義動作を引き起こしたり、不正な解析ロジックが実行されたり、潜在的な情報漏洩が発生したりする可能性があります。

React RouterはReact用のルーターです。バージョン7.7.0から7.13.1までの間において、React Routerの不安定なReactサーバーコンポーネント（RSC）APIを使用し、信頼されていないソースからリダイレクトが行われる場合、RSCのリダイレクト処理にクライアントサイドのクロスサイトスクリプティング（XSS）脆弱性が発生する可能性があります。不安定なRSC APIを使用していないアプリケーションには影響がありません。この脆弱性はバージョン7.13.2で修正されました。

React RouterはReact用のルーターです。バージョン7.0.0から7.14.0および6.7.0から6.30.3では、redirect関数に渡される特定のURLが、パス値が//で始まる場合にプロトコル相対URLとして再解釈されるため、外部ドメインへのオープンリダイレクトが引き起こされる可能性があります。影響の程度は、リダイレクトを返す前にアプリケーションが行う検証によって異なります。この問題は、宣言的モード（BrowserRouter）を使用しているアプリケーションには影響しません。この問題はバージョン7.14.1および6.30.4で修正されています。

Dell ThinOS 10のThinOS 10 2602_10.0765以前のバージョンには、不適切なアクセス制御の脆弱性があります。認証されていない攻撃者が物理的にアクセスできる場合、この脆弱性を悪用して情報漏洩を引き起こす可能性があります。

authentikはオープンソースのアイデンティティプロバイダーです。バージョン2026.2.3以前では、WS-Federationプロバイダーがユーザーが提供したwreplyパラメータを適切にURL解析せず、生文字列のプレフィックスチェックで検証していました。攻撃者はログインリンクを作成できる場合、異なるオリジン上のwreply値をチェックを通過する形で指定可能であり（例：https://portal.example.com.evil.tld/）、これにより被害者のブラウザが署名されたWS-Federationのログインレスポンスを攻撃者が制御するインフラストラクチャにPOSTしてしまいます。この問題はバージョン2026.2.3で修正されました。

認証されたユーザーは、アカウントデータとパスワードハッシュを含むDanelec MacGregor航海データレコーダーのバックアップをダウンロードできます。

VercelのAI Cloudは、最新のアプリケーションを構築するための統合プラットフォームです。バージョン50.16.0から52.0.0において、Vercel CLIが非対話モード（--non-interactiveまたは自動検出されたAIエージェント）で実行されると、自律的に完了できないコマンドが提案され、次のコマンドを含むJSONペイロードを出力します。ユーザーがコマンドラインで--tokenまたは-tを使って認証した場合、そのトークンの値が提案内容にそのまま含まれます。この平文トークンはCI/CDログ、エージェントのトランスクリプト、またはその他の自動化出力に記録される可能性があります。この脆弱性はバージョン52.0.1で修正されました。

liboqsはポスト量子暗号アルゴリズムの実装を提供するC言語の暗号ライブラリです。バージョン0.16.0以前において、XMSSおよびXMSS^MTのステートフル署名検証コードに境界外読み取りの脆弱性が確認されました。検証関数が、与えられたパラメータセットの期待される署名サイズより短い署名バッファで呼び出された場合、実装は呼び出し元が指定した長さを検証せず、バッファの末尾を越えて読み取ります。境界外のバイトは内部のハッシュ計算の入力としてのみ消費され、呼び出し元に返されることはありません。そのため、攻撃者に内容を漏らすオラクルは存在しません。主な影響としては、読み取りがマップされていないメモリページにまたがる場合、検証プロセスがクラッシュし（サービス拒否が発生する）可能性があります。この脆弱性はバージョン0.16.0で修正されています。

Danelec MacGregorの航海データレコーダーのパスワードは、パスワードの長さに制限があるハッシュ方式で保存されており、ブルートフォース攻撃に対して脆弱であるという問題があります。

LibreChatは複数のAIプロバイダーに対応した強化版ChatGPTクローンです。バージョン0.8.3まで（含む）では、MCPサーバーに対して`VIEW`アクセス権のみを持つユーザーが、`GET /api/mcp/servers`および`GET /api/mcp/servers/:serverName`を通じてサーバーの復号された管理者管理シークレットを取得できました。返される設定には`apiKey.key`と`oauth.client_secret`の平文値が含まれており、共有MCPサーバーの閲覧者が基盤となるプロバイダーの資格情報を持ち出すことが可能でした。バージョン0.8.4でこの問題は修正されています。その他の対策としては、所有者以外に復号された管理者管理シークレットを返さないこと、すべてのAPIレスポンスからapiKey.keyおよびoauth.client_secretを削除すること、auth-valuesルートパターンのようにシークレットの存在を示すブール値のみを返すこと、所有者がシークレットを再入力せずに設定を編集できる場合にはサーバー側でシークレットを保持し、平文の代わりにプレースホルダーを返すことが挙げられます。

RabbitMQはメッセージングおよびストリーミングのブローカーです。この脆弱性はバージョン3.7.0から4.1.2未満、および4.0.13に存在していましたが、4.1.2および4.0.13で修正されました。

OpenStack Ironic 35.0.2より前のバージョンでは、悪意のある認証済みプロジェクト管理者またはマネージャーがpxe_templateを介してIronicコンダクター上のローカルファイルを読み取ることが可能です。

Nextcloudはオープンソースのコンテンツコラボレーションプラットフォームです。バージョン0.8.0から1.0.4未満のバージョンでは、Nextcloud Tablesにおいて読み取り専用の権限を持つユーザーにビューのフィルタ基準が公開されてしまう問題が存在していました。この問題はバージョン1.0.4および2.0.0で修正されています。

go-gitは純粋なGoで書かれた拡張可能なgit実装ライブラリです。5.19.1および6.0.0-alpha.4以前のバージョンでは、go-gitのパス検証に問題があり、細工されたリポジトリデータが意図されたチェックアウトターゲットの外部にある、リポジトリの.gitディレクトリを含むファイルに影響を及ぼす可能性がありました。これらの検証は数年前に上流のGitで導入されたものであり、この脆弱性はgo-gitがこれらのチェックから逸脱したことに起因しています。この脆弱性は5.19.1および6.0.0-alpha.4のバージョンで修正されました。

OP-TEEは、TrustZone技術を使用するArm Cortex-Aコア上で動作する非セキュアなLinuxカーネルの補助として設計されたトラステッド実行環境（TEE）です。バージョン4.11.0以前では、多くのECDH共有秘密経路において、公開鍵が正しい曲線上の点であるかどうかの検証が行われていませんでした。約30から40個の細工された公開鍵をOP-TEEに渡すことで、通常のワールドの攻撃者が秘密鍵を再構築する可能性がありました。TEE_DeriveKeyを呼び出す際、公開鍵は完全なXおよびYの値で提供されますが、その（X, Y）点が特定の曲線に使用される「Y^2 == X^3 + aX + b mod P」という数学的条件を満たしていない可能性があります。これらの公開鍵が拒否されない場合、攻撃者はDeriveKeyの各呼び出しで秘密鍵dと、正しい曲線と攻撃者が選択した曲線の関係から得られるrを用いて漏洩させる「d % r」を選択可能な公開鍵を選べます。十分なデータが漏洩すると、中国の剰余定理を用いて完全な秘密鍵を回復できます。バージョン4.11.0でこの問題は修正されました。

Nextcloudはオープンソースのコンテンツコラボレーションプラットフォームです。Nextcloud Serverのバージョン32.0.0から32.0.9未満、および33.0.0から33.0.3未満に認証バイパスの脆弱性が存在し、ユーザーのパスワードを知っている攻撃者が二要素認証(2FA)保護を回避できてしまいます。ユーザーが2FAを有効にしたアカウントで有効な資格情報を使ってログインを開始すると、システムは二要素認証の挑戦を行う前に一時的なセッショントークンを作成しました。このトークンはHTTPベーシック認証を介して抽出および再利用が可能であり、不正に認証済みエンドポイントへアクセスすることができました。Nextcloud Serverは33.0.3または32.0.9に、Nextcloud Enterprise Serverは33.0.3、32.0.9、31.0.14.5、30.0.17.9または29.0.16.16にアップグレードすることが推奨されます。

Nextcloudはオープンソースのコンテンツコラボレーションプラットフォームです。Nextcloud Serverのバージョン32.0.0から32.0.9未満、ならびに33.0.0から33.0.3未満において、2要素認証前のセッションCookie（パスワード認証成功後だがTOTP完了前に生成されたもの）がBearerトークンとして再利用されます。そのため、DAVエンドポイントに対して認証が行われ、読み書きアクセスが許可され、必須の二要素認証を回避できる可能性があります。Nextcloud Serverは33.0.3または32.0.9へアップグレードすることが推奨されます。Nextcloud Enterprise Serverは33.0.3、32.0.9、31.0.14.5、30.0.17.9、または29.0.16.16へアップグレードすることが推奨されます。

Nextcloudはオープンソースのコンテンツコラボレーションプラットフォームです。Nextcloud Serverのバージョン31.0.0から31.0.12未満、および32.0.0から32.0.3未満において、関連するチェックが欠落していたため、認証ユーザーが任意のファイルコメントにアクセスでき、すべてのコメントの内容を読むことが可能でした。Nextcloud Serverは31.0.12または32.0.3にアップグレードすることが推奨されます。Nextcloud Enterprise Serverについても、21.0.9.20、22.2.10.35、23.0.12.31、24.0.12.30、25.0.13.25、26.0.13.22、27.1.11.22、28.0.14.13、29.0.16.10、30.0.17.5、31.0.12または32.0.3にアップグレードすることが推奨されます。

liboqsは、ポスト量子暗号アルゴリズムの実装を提供するC言語の暗号ライブラリです。バージョン0.16.0以前のXMSSおよびXMSS^MT状態付き署名検証コードには境界外読み取りの脆弱性が存在していました。検証関数が正しいサイズの署名バッファで呼び出されても、OIDバイトがより大きな(sig_bytes)を持つ別のXMSSパラメータセットを参照する公開鍵を使用すると、実装は公開鍵からOIDを再解析し、その大きいsig_bytesを使って署名バッファを参照します。境界外のバイトは内部ハッシュ計算の入力としてのみ使用され、呼び出し元には返されないため、情報漏洩のリスクはありません。この脆弱性により、マップされていないメモリへの読み込みが発生した場合に検証プロセスがクラッシュし、サービス拒否が発生する可能性があります。この問題はバージョン0.16.0で修正されました。

Oracle REST Data Services（コンポーネント：General）における脆弱性です。影響を受けるサポート対象バージョンは24.2.0から26.1.0までです。HTTPS経由でネットワークからアクセス可能な、認証されていない攻撃者が容易に悪用できる脆弱性により、Oracle REST Data Servicesが侵害される可能性があります。この脆弱性の攻撃が成功すると、Oracle REST Data Servicesのアクセス可能なデータの一部に対して不正な読み取りアクセスが発生します。CVSS 3.1ベーススコアは5.3（機密性への影響）です。CVSSベクターは次の通りです：(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N)。

libexpat 2.8.2より前のバージョンには、ポリシー違反が発生した場合に、ハンドラ内からXML_GetBuffer、XML_Parse、XML_ParseBuffer、XML_ParserFree、またはXML_ParserResetへの呼び出しに関するハンドラ呼び出し深度の追跡が欠如しています。そのため、Use-After-Freeの脆弱性が発生する可能性があります。

影響：morgan ロギングミドルウェアの :remote-user トークンは、Authorization リクエストヘッダーから Basic 認証のユーザー名を抽出し、制御文字を無効化せずにログストリームに書き込みます。認証されていない攻撃者は、CR または LF バイトを含む細工された Authorization Basic ヘッダーを送信して偽のログ行を挿入でき、アクセスログの1リクエスト1行の構造が破壊され、下流のログ消費者に対するログ偽造が可能になります。組み込みの combined、common、default、および short フォーマットが影響を受け、:remote-user を参照するカスタムフォーマットも影響を受けます。影響を受けるバージョンは、morgan 1.2.0 から 1.10.1 までです。修正方法は、制御文字を :remote-user トークンの出力で無効化した morgan 1.11.0 にアップグレードすることです。回避策としては、:remote-user を含まないカスタムフォーマット文字列を使用してください。

AppsmithのSQLクエリエディタのオートコンプリート機能は、innerHTMLにレンダリングする前にデータベースオブジェクト名のサニタイズを行わないため、認証された開発者が悪意のあるテーブル名やカラム名を用いて永続的なXSSを注入できます。この結果、同じデータソースを操作する他のワークスペースメンバーのセッションで任意のコードを実行させる可能性があります。

CWE-522: Progress Sitefinityのバージョン8.0.5700から13.3.7652までのウェブサービスにおいて、資格情報の保護が不十分なため、リモートの認証済み攻撃者がSitefinity Insightサービスに接続する際に使用される平文の資格情報を取得できる脆弱性があります。成功した攻撃には、Sitefinity Insightとのアクティブな統合、デフォルトでないサイト構成、および有効なバックエンド認証が必要です。

pipは、console_scriptsおよびgui_scriptsをファイル名ではなくパスとして扱い、インストールディレクトリへの解決済み絶対パスを適切にサニタイズしないため、エントリーポイントがインストールディレクトリ外にインストールされる可能性があります。

TP-Link Systems Inc.が提供する複数の製品には、次の脆弱性が存在します。 ・重要情報の平文送信（CWE-319）- CVE-2026-34126 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。 報告者：合同会社エルプラス eyegrep 氏、izurina 氏

NhostはGraphQLを使用したオープンソースのFirebase代替サービスです。バージョン0.12.0より前のストレージサービスのファイルアップロードハンドラーは、サーバー側でMIMEタイプの検出を行わず、クライアントが提供するContent-Typeヘッダーを信頼していました。このため、攻撃者は任意のMIMEタイプのファイルをアップロードでき、ストレージバケットに設定されたMIMEタイプに基づく制限を回避できる状態でした。この問題はバージョン0.12.0で修正されています。

cveInterface.jsにおけるXSS脆弱性は、CVE APIサービスからの入力をcveInterfaceが信頼しているため、HTMLの注入が表示に渡されてしまう問題です。