脆弱性情報（JVN）検索・一覧

Undertowに脆弱性が発見されました。この脆弱性により、リモート攻撃者は特別に細工されたリクエストを作成でき、ヘッダー名がUpstreamプロキシと比較してUndertowにより異なる方法で解析されます。ヘッダーの解釈の不一致はリクエストスマグリング攻撃を実行するために悪用される可能性があり、セキュリティ制御を回避して不正にリソースへアクセスされる恐れがあります。

Undertowに脆弱性が発見されました。UndertowがHTTPリクエストを受け取る際、最初のヘッダー行が1つ以上のスペースで始まる場合、これらの先頭のスペースを不適切に取り除いてリクエストを処理します。この動作はHTTP標準に違反しており、リモートの攻撃者によってリクエストスミugglingを実行される可能性があります。リクエストスミugglingにより、攻撃者はセキュリティ機構を回避したり、制限された情報にアクセスしたり、ウェブキャッシュを操作したりすることが可能となり、不正な操作やデータ漏洩を引き起こす恐れがあります。

OpenClawの2026年3月11日以前のバージョンには、device.token.rotateに権限昇格の脆弱性があります。この脆弱性により、operator.pairingスコープを持つ呼び出し元は、新たに発行されるスコープを現在のスコープセットに制限せず、より広範なスコープを持つトークンを発行できてしまいます。攻撃者はペアリングされたデバイスのoperator.adminトークンを取得し、system.runを介して接続ノード上でリモートコードを実行したり、不正にgateway-adminアクセスを取得したりすることが可能です。

OpenClaw 2026.3.12以前には、chat_typeが省略されたFeishuのリアクションイベントがグループチャットではなくp2p（個人間）会話として誤分類される認証バイパスの脆弱性が存在していました。攻撃者はこの誤分類を悪用して、グループチャットのリアクションに由来するイベントにおけるgroupAllowFromおよびrequireMentionの保護を回避することができます。

OpenClawの2026年3月13日以前のバージョンでは、src/infra/device-bootstrap.tsにおいて、デバイスペアリング検証中にブートストラップセットアップコードがリプレイされる可能性があります。攻撃者は承認前に有効なブートストラップコードを複数回検証することで、保留中のペアリングスコープをエスカレートさせることができ、その結果operator.adminへの権限が昇格します。

WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン26.0までの `objects/category.php` 内の `fixCleanTitle()` 静的メソッドでは、プリペアドステートメントやパラメータ化されたクエリを使用せずに、`$clean_title` と `$id` の両方を直接クエリ文字列に埋め込んでSQLのSELECTクエリを構築します。細工されたタイトル値でカテゴリの作成または名前変更をトリガーできる攻撃者は、任意のSQLをインジェクションすることが可能です。この問題はコミット994cc2b3d802b819e07e6088338e8bf4e484aae4で修正されています。

Notesnookはノート作成アプリです。Web/Desktop版の3.3.11以前、およびAndroid/iOS版の3.3.17以前において、Webクリッパーのレンダリングフローに格納されたXSSがデスクトップアプリにおけるリモートコード実行にエスカレートする可能性があります。根本原因としては、クリッパーが攻撃者により制御されたソースページのルート要素の属性を保持し、それをweb-clip HTML内に保存することがあります。クリップが後で開かれる際、NotesnookはそのHTMLを`contentDocument.write(...)`を使って同一オリジンかつサンドボックスなしのiframeにレンダリングします。`onload`、`onclick`、`onmouseover`などのイベントハンドラー属性はNotesnookのオリジン上で実行されます。デスクトップアプリでは、Electronの設定が`nodeIntegration: true`かつ`contextIsolation: false`であるため、これがリモートコード実行（RCE）につながります。バージョン3.3.11のWeb/Desktop版および3.3.17のAndroid/iOS版でこの問題は修正されています。

Locutusは教育目的で他のプログラミング言語の標準ライブラリをJavaScriptに持ち込むものです。バージョン3.0.25以前の`locutus/php/var/unserialize`にある`unserialize()`関数は、`__proto__`キーをフィルタリングせずに角括弧記法を使って逆シリアライズされたキーをプレインオブジェクトに割り当てます。PHPのシリアライズされたペイロードに`__proto__`が配列またはオブジェクトのキーとして含まれている場合、JavaScriptの`__proto__`セッターが呼び出され、逆シリアライズされたオブジェクトのプロトタイプが攻撃者制御の内容に置き換えられます。これにより、プロパティの注入やin演算子による注入プロパティの伝播、および組み込みメソッドの上書きによるサービス拒否が可能となります。以前報告された`parse_str`のプロトタイプ汚染（GHSA-f98m-q3hr-p5wq、GHSA-rxrv-835q-v5mh）とは異なり、`unserialize`は別の関数で、緩和策は適用されていません。この問題はバージョン3.0.25で修正されました。

Locutusは教育目的で他のプログラミング言語の標準ライブラリをJavaScriptに提供するライブラリです。バージョン2.0.39から3.0.25未満のnpmパッケージlocutusのparse_str関数にプロトタイプ汚染の脆弱性があります。攻撃者はRegExp.prototype.testを上書きし、細工されたクエリ文字列をparse_strに渡すことでObject.prototypeを汚染し、プロトタイプ汚染ガードを回避できます。この脆弱性は以前の修正が不完全であったことに起因し、新たな修正がバージョン3.0.25に含まれています。

WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン26.0まで（含む）において、`Live_schedule::keyExists()`メソッドはストリームキーを直接クエリ文字列に挿入してSQLクエリを構築しており、パラメータ化がされていません。このメソッドは、最初のパラメータ化された検索で結果が得られなかった場合に`LiveTransmition::keyExists()`からフォールバックとして呼び出されます。呼び出し元関数は自身の検索にパラメータ化クエリを正しく使用していますが、`Live_schedule::keyExists()`へのフォールバック経路でこの保護が完全に無効化されます。この脆弱性は、リマインダー機能の`live_schedule_id`パラメータを介したSQLインジェクションを扱うGHSA-pvw4-p2jm-chjmとは異なります。本調査はRTMP配信認証時に使用されるストリームキー検索経路を対象としています。公開時点で、修正済みのバージョンは存在しません。

IBM WebSphere Application Server - Liberty 17.0.0.3 から 26.0.0.3 にかけての IBM WebSphere Application Server Liberty は、セキュリティ設定を管理する際に期待よりも弱いセキュリティを提供する可能性があります。

バージョン3.7.69.15より前のSmart Switchにおいて、暗号署名が不適切に検証されるため、リモートの攻撃者が認証を回避できる可能性があります。

バージョン3.7.69.15以前のSmart Switchにおいて、不適切な認証のためにリモートの攻撃者が認証を回避できる脆弱性があります。

認証されたドメインユーザーがバックアップサーバー上でリモートコードを実行できる脆弱性です。

バックアップ管理者ロールを持つ認証済みユーザーが、Veeam Backup & Replicationの高可用性（HA）展開環境においてリモートコードを実行できる脆弱性です。

Juniper Networks Junos OS EvolvedのPTXシリーズにおけるオンボックス異常検知フレームワークには、重要リソースの誤った権限割り当てに起因する脆弱性があります。この脆弱性によって、認証されていないネットワークベースの攻撃者がroot権限でコードを実行できる可能性があります。オンボックス異常検知フレームワークは内部ルーティングインスタンスを介して他の内部プロセスのみがアクセス可能であるべきであり、外部に公開されたポート経由でのアクセスは許されません。しかし、このサービスにアクセスし操作できるリモート攻撃者は、root権限でコードを実行し、デバイスを完全に制御できます。このサービスは特別な設定を必要とせず、デフォルトで有効になっている点に注意が必要です。本脆弱性は以下のPTXシリーズのJunos OS Evolvedバージョンに影響します：25.4R1-S1-EVOおよび25.4R2-EVOより前の25.4バージョンです。本脆弱性は25.4R1-EVO以前のJunos OS Evolvedバージョンには影響せず、またJunos OSには影響を与えません。

NVIDIA NeMoフレームワークにはチェックポイントの読み込みに関する脆弱性が存在し、攻撃者がリモートコード実行を引き起こす可能性があります。この脆弱性を悪用されると、コードの実行、権限の昇格、情報漏洩、およびデータ改ざんが発生する可能性があります。

NVIDIA NeMoフレームワークには、攻撃者がリモートコード実行を引き起こす可能性のある脆弱性が含まれています。この脆弱性を悪用されると、コードの実行や権限の昇格、情報の漏洩、およびデータの改ざんが発生する可能性があります。

SourceCodesterのオンラインフード注文システムv1.0のActions.phpファイル（特にsave_customerアクション）にSQLインジェクションの脆弱性が存在します。アプリケーションは「username」パラメータに渡されるユーザー入力を適切にサニタイズしていません。そのため、攻撃者が悪意のあるSQLコマンドを注入することが可能となります。

SourceCodester Online Food Ordering System v1.0 の admin/view_product.php ファイルにおいて、"id" パラメータを通じて SQL インジェクションの脆弱性が存在します。

SourceCodesterのオンラインフード注文システムv1.0のadmin/manage_product.phpファイルには、「id」パラメータを介してSQLインジェクションの脆弱性が存在しています。

OpenClawの2026年3月11日以前のバージョンには、matchesExecAllowlistPattern関数が小文字変換とグロブマッチングを不適切に正規化し、POSIXパス上で過剰にマッチングすることによってexec許可リストをバイパスできる脆弱性があります。攻撃者は、パスセグメントを跨ぐワイルドカードマッチングを悪用して、オペレーターが意図しないコマンドやパスを実行する可能性があります。

OpenClawの2026年3月12日以前のバージョンには、encryptKeyを設定せずにverificationTokenのみを構成している場合に、FeishuのWebhookモードで認証バイパスの脆弱性が存在し、偽造されたイベントを受け入れてしまいます。認証されていないネットワーク攻撃者がWebhookエンドポイントに到達することで、偽造されたFeishuイベントを注入し、下流のツールを実行させる可能性があります。

OpenClawの2026年3月12日以前のバージョンには、Zalouserのホワイトリストモードで、不安定なグループ識別子ではなく変更可能なグループ表示名を照合するという弱い認証脆弱性があります。攻撃者はホワイトリストに登録されたグループと同じ名前のグループを作成することで、チャネルの認証を回避し、意図しないグループからエージェントへのメッセージをルーティングできるようになります。

SaloonはユーザーにAPI統合やSDK構築のためのツールを提供するPHPライブラリです。バージョン4.0.0以前では、フィクスチャ名を検証せずに、設定されたフィクスチャディレクトリの下のファイルパスの構築に使用していました。パス区切り（例：../traversalや../../etc/passwd）を含む名前は、そのディレクトリ外のパスを引き起こしました。アプリケーションがフィクスチャ（例：モック用の読み込みやレスポンス記録時の書き込み）を操作する際、プロセスはアクセス可能な任意の場所のファイルを読み書きできる可能性がありました。フィクスチャ名がユーザーや攻撃者が制御する入力（例：リクエストパラメータや設定）から派生した場合、これはパストラバーサルの脆弱性となり、機密ファイルの情報漏えいや重要ファイルの上書きを招く恐れがありました。バージョン4.0.0の修正では、フィクスチャ層で検証を追加し（/、\、..、ヌルバイトを含む名前を拒否し、安全な文字セットに制限し）、ストレージ層で多層防御を行い（読み書き前に解決済みパスがベースディレクトリ内にあることを保証しています）。

Outlineは共同ドキュメンテーションを可能にするサービスです。OutlineはIdentity Providerに関連付けられていないユーザー向けにEmail OTPログインフローを実装しています。バージョン0.86.0から1.6.0未満のOutlineでは、不正な送信回数や頻度に基づいてOTPコードを無効化せず、代わりにレートリミッターが試行回数を制限しています。そのため、レートリミッターを回避できることが確認されており、コードの有効期間内に無制限にOTPコードを送信できます。これにより、攻撃者はブルートフォース攻撃を実行でき、アカウントを乗っ取ることが可能です。バージョン1.6.0でこの問題は修正されました。

Incusはシステムコンテナおよび仮想マシンマネージャーです。バージョン6.23.0より前では、インスタンステンプレートファイルがホストサーバー上でroot権限による任意の読み書きを引き起こす可能性がありました。Incusはインスタンス内でpongo2テンプレートを許可しており、インスタンスのライフサイクルの様々な時点でこれを使用してインスタンス内のファイルをテンプレート化できます。このpongo2のIncus内での実装はファイルの読み書きを可能にしていましたが、pongo2のchroot機能は全てのアクセスをインスタンスのファイルシステムに限定すると想定されていました。理論上、テンプレートはファイルを読み取り新しいバージョンのファイルを生成できる設計でした。しかしながら、pongo2によってchrootの隔離機構が完全にスキップされたため、root権限でシステム全体のファイルシステムに簡単にアクセス可能となっていました。バージョン6.23.0でこの問題は修正されています。

Daylight Studio FuelCMS v1.5.2 の /parser/dwoo コンポーネントに問題があり、攻撃者は細工された PHP コードを介して任意のコードを実行できます。

Daylight Studio FuelCMS v1.5.2には問題があり、攻撃者がメール分割攻撃を通じてユーザーのパスワードリセットトークンを流出させることが可能です。

NetScaler ADCおよびNetScaler GatewayがSAML IDPとして構成されている場合に、入力検証が不十分であるため、メモリのオーバーリードが発生する可能性があります。

Totolink A3600R 4.1.2cu.5182_B20201102に脆弱性が検出されました。この問題の影響を受けるのは、コンポーネントParameter Handlerのファイル/cgi-bin/cstecgi.cgi内の関数setNoticeCfgです。引数NoticeUrlの操作によりコマンドインジェクションが発生します。この攻撃はリモートで実行される可能性があります。現在、このエクスプロイトが公開されており、悪用される可能性があります。

Totolink NR1800X 9.1.0u.6279_B20210910に脆弱性が発見されました。この問題はTelnetサービスのコンポーネントであるファイル/cgi-bin/cstecgi.cgiの関数NTPSyncWithHostに影響します。引数host_timeの操作によりコマンドインジェクションが発生します。攻撃はリモートから実行可能です。エクスプロイトは公に公開されており、悪用される可能性があります。

コードプロジェクトの会計システム1.0に脆弱性が検出されました。この脆弱性は、コンポーネントParameter Handlerのファイル/view_costumer.phpの特定機能に影響を及ぼします。引数cos_idの操作によりSQLインジェクションが発生します。この攻撃はリモートから実行可能です。エクスプロイトは既に公開されており、悪用される恐れがあります。

code-projects Accounting System 1.0 に欠陥が発見されました。この問題の影響を受けるのは、コンポーネント Parameter Handler のファイル /edit_costumer.php の一部の未知の機能です。引数 cos_id の操作により SQL インジェクションが発生します。この攻撃はリモートから開始可能です。エクスプロイトは公開されており、使用される恐れがあります。

code-projects Accounting System 1.0に脆弱性が発見されました。この脆弱性は、コンポーネントParameter Handlerのファイル/view_work.phpの不明な部分に影響を与えます。引数en_idの操作によりSQLインジェクションが発生します。リモートから攻撃を仕掛けることが可能です。エクスプロイトは公開されており、悪用される恐れがあります。

Library CMS 1.0には、認証されていない攻撃者がusernameパラメータを通じてSQLコードを注入し、認証を回避できるSQLインジェクションの脆弱性があります。攻撃者は、usernameフィールドにブールベースのブラインドSQLインジェクションペイロードを含むPOSTリクエストを管理者ログインエンドポイントに送信し、データベースクエリを操作して不正アクセスを獲得することが可能です。

textract 2.5.0までのバージョンには、複数の抽出機能においてファイルパスパラメータを通じたOSコマンドインジェクションの脆弱性があります。悪意のあるファイル名を持つファイルを処理する際に、filePathはlib/extractors/doc.js、rtf.js、dxf.js、images.js、およびlib/util.js内のchild_process.exec()に不十分にサニタイズされた状態で直接渡されます。

SonarrはUsenetおよびBitTorrentユーザー向けのPVRです。バージョン4.0.16.2942以前には、ローカルアドレスの認証を無効にしているユーザー（Authentication Requiredが「Disabled for Local Addresses」に設定されている場合）に影響する認証バイパスの脆弱性がありました。ただし、Sonarrの前にリバースプロキシがあり、不正なヘッダーを通過させなければ影響を受けません。パッチはナイトリー／開発ブランチのバージョン4.0.16.2942および安定版／メインリリースのバージョン4.0.16.2944で利用可能です。いくつかの回避策も存在します。SonarrのAuthentication Required設定を「Enabled」にし、リバースプロキシの背後でSonarrを実行するか、直接インターネットに公開せずVPNやTailscaleなどの類似ソリューションを介してアクセスしてください。

thumbler バージョン 1.1.2 は、thumbnail() 関数の input、output、time、または size パラメーターを通じて OS コマンドインジェクションを引き起こす可能性があります。これは、ユーザー入力が適切にサニタイズやエスケープ処理されずにシェルコマンド文字列に連結され、その文字列が child_process.exec() に渡されるためです。

Anchorrは、映画やテレビ番組のリクエストを受け付け、メディアサーバーにアイテムが追加された際に通知を受け取るDiscordボットです。バージョン1.4.1以下には、ウェブダッシュボードのユーザーマッピングドロップダウンに格納型クロスサイトスクリプティング（XSS）脆弱性が存在しており、設定されたギルド内の権限のないDiscordユーザーがAnchorr管理者のブラウザで任意のJavaScriptを実行できてしまいます。これをGET /api/configエンドポイント（すべての秘密情報が平文で返される）と組み合わせることで、攻撃者はDISCORD_TOKEN、JELLYFIN_API_KEY、JELLYSEERR_API_KEY、JWT_SECRET、WEBHOOK_SECRET、bcryptパスワードハッシュを含むすべての資格情報をAnchorrへの認証なしに盗み出すことが可能です。この問題はバージョン1.4.2で修正されました。