脆弱性情報（JVN）検索・一覧

Open VSX レジストリは、拡張機能アイコンとしてアップロードされたSVGファイルを保存前に正しくサニタイズせず、Content-Security-PolicyやContent-Disposition: attachmentといったセキュリティヘッダーなしでContent-Type: image/svg+xmlとして配信します。これにより、攻撃者は悪意のあるSVGアイコンを用いた拡張機能を公開でき、ユーザーが直接アイコンURLにアクセスした際に保存型クロスサイトスクリプティング（XSS）を引き起こす可能性があります。ローカルストレージを使用する展開環境では、スクリプトはOpen VSXアプリケーションのオリジン内で実行され、セッションを乗っ取ったり認証トークンを窃取したり、不正な拡張機能を公開したりすることが可能です。外部ストレージ（例：S3対応CDNを使用するopen-vsx.org）の場合、実行はストレージのオリジンに制限され影響は軽減されますが、攻撃者が作成したページを通じたフィッシング攻撃や資格情報の収集が依然として許容されます。

Mattermostのバージョン11.7.x = 11.7.0、11.6.x = 11.6.2、11.5.x = 11.5.5、10.11.x = 10.11.17において、{{/gitlab connect}}コマンドハンドラ内の{{setDefaultInstance}}呼び出しで管理者認証が強制されていないため、認証済みの任意のユーザーが{{/gitlab connect instance-name}}スラッシュコマンドを通じて、グローバルデフォルトのGitLabインスタンス設定を上書きできる脆弱性が存在します。

Open WebUIは完全にオフラインで動作する自己ホスト型の人工知能プラットフォームです。バージョン0.9.6より前では、POST /api/v1/calendars/events/{event_id}/updateは、呼び出し元が現在イベントが所属するカレンダーへの書き込みアクセス権を持っているかどうかを検証しますが、リクエストボディで指定された宛先のcalendar_idについては検証しません。モデル層はその後、新しいcalendar_idを無条件に永続化します。そのため、通常のユーザーロールのアカウントでも、自分自身のカレンダーにイベントを作成し、直ちにIDを知っている任意の他ユーザーのカレンダーへ移動させることができ、create_eventが正しく実施している認可チェックを回避できます。この脆弱性はバージョン0.9.6で修正されました。

Open WebUIは完全にオフラインで動作する自己ホスト型の人工知能プラットフォームです。バージョン0.9.6以前では、チャットメッセージリスナーが同一生成元でないinput:promptおよびaction:submitメッセージを許可していたため、外部サイトが認証済みの被害者セッション内でプロンプトテキストを設定し、submitPrompt()をトリガーすることが可能でした。クロスオリジンの攻撃者ページは自動でメッセージを投稿し、攻撃者が制御するプロンプトを含む不正なPOST /api/v1/chats/newおよびPOST /api/chat/completionsリクエストを発生させることを検証しました。これにより、被害者の権限下で同意なくクロスサイト強制操作およびモデルやツールを実行できる状態となっています。この脆弱性はバージョン0.9.6で修正されました。

Open WebUIは完全にオフラインで動作する自己ホスト型の人工知能プラットフォームです。バージョン0.9.6以前では、POST /api/chat/completionsがimage_url.urlの値を受け入れますが、その値がhttp://、https://、またはdata:image/で始まらない場合、ファイルIDとして解釈されます。ファイルIDは所有権チェックなしにグローバルファイルテーブルに対して解決されます。認証されたユーザーはimage_url.urlに他のユーザーのファイルIDを設定でき、サーバーはそのファイルをディスクから読み取り、base64でエンコードしてLLMリクエストにデータURIとして注入します。その後、ユーザーはLLMにファイルの説明やOCR処理を促し、内容を読み取ることが可能です。この脆弱性はバージョン0.9.6で修正されました。

Open WebUIは完全にオフラインで動作するように設計されたセルフホスト型の人工知能プラットフォームです。バージョン0.9.6以前では、Open WebUIはMarkdownファイルのMermaidブロックをファイルプレビューパネル内でレンダリングし、生成されたSVGをinnerHTMLを用いてDOMに挿入していました。MermaidがsecurityLevel: 'loose'に設定されていたため、攻撃者が制御するMermaidコンテンツがこのフローで安全でない方法でレンダリングされる可能性がありました。Markdownプレビュー経由で動作するペイロードが検証されており、その結果、アプリケーションのオリジン下で被害者のブラウザ内でJavaScriptが実行される事態となりました。この脆弱性はバージョン0.9.6で修正されています。

Open WebUIは完全にオフラインで動作する自己ホスト型の人工知能プラットフォームです。バージョン0.9.6以前のopen-webuiには、キャッシュファイル提供エンドポイントにパストラバーサルの脆弱性が存在し、認証済みユーザーが意図されたキャッシュディレクトリ外の兄弟ディレクトリからファイルを読み取ることが可能でした。これはstartswithによる包含チェックが不完全で、後続のパスセパレータが欠如していたために発生しました。根本原因は、open_webui/main.pyのserve_cache_file()関数がfile_path.startswith(os.path.abspath(CACHE_DIR))で解決済みパスを検証する際に、os.sepを付加していなかったことにあります。このため、名前がcacheで始まる兄弟ディレクトリ（例：cache_sibling、cache_backup、cached_models）へ解決される任意のパスが検証を通過してしまっていました。この脆弱性はバージョン0.9.6で修正されました。

Open WebUIは完全にオフラインで動作するセルフホスト型の人工知能プラットフォームです。バージョン0.9.6以前では、Open WebUIのプロンプトのバージョン履歴エンドポイントはURL内のprompt_idを認可しますが、その後、履歴行がそのプロンプトに属しているかどうか（history_entry.prompt_id == prompt.id）を検証せずに、呼び出し元が提供した履歴IDに対して操作を行います。これにより、/api/v1/prompts/id/{prompt_id}/history/diff、/api/v1/prompts/id/{prompt_id}/update/version、および/api/v1/prompts/id/{prompt_id}/history/{history_id}が影響を受けます。認証されたユーザーが自分の管理する任意のプロンプトへのアクセス権と被害者のprompt_history.idを持っている場合、他のユーザーのプライベートなプロンプト履歴を読み取ったり削除したりすることが可能です。この脆弱性はバージョン0.9.6で修正されました。

Open WebUIは完全にオフラインで動作するよう設計されたセルフホスト型の人工知能プラットフォームです。バージョン0.9.6以前のOpen WebUIには、組み込みのsearch_knowledge_filesツールにおいてオブジェクトレベルの認可破損（BOLA）脆弱性が存在していました。ネイティブ関数呼び出しが有効で、選択されたモデルに知識ベースが添付されていない場合、認証済みユーザーは任意のknowledge_idを指定してsearch_knowledge_filesを呼び出すことが可能です。そうすると、この関数はユーザーが読み取りアクセス権を持っているかどうかを確認せずに、該当の知識ベースからファイルのメタデータを返します。これにより、プライベートまたは制限された知識ベースファイルを不正に列挙できてしまいます。この脆弱性はバージョン0.9.6で修正されました。

Open WebUIは完全にオフラインで動作するよう設計されたセルフホスト型の人工知能プラットフォームです。バージョン0.9.6以前では、Milvusのマルチテナンシーモードが有効な場合にACLチェックをバイパスできる脆弱性が存在していました。この問題はバージョン0.9.6で修正されています。

Open WebUIは、完全にオフラインで動作するように設計されたセルフホスト型の人工知能プラットフォームです。バージョン0.9.6以前では、複数の直接的なインデックス指定のOllamaプロキシルートが、呼び出し元が提供するurl_idxパスパラメータを受け入れており、それをadminが設定したOLLAMA_BASE_URLSリストの生のインデックスとして使用していました。これらのルートにおけるアクセス制御は、ユーザーが要求されたモデルを使用できるかどうかのみを検証し、リクエストがどのバックエンドにルーティングされるかについては検証しませんでした。認証された任意のユーザーは、任意のurl_idxを追加することで、許可されていないOllamaバックエンド、例えば内部のより高い権限を持つバックエンドや明示的に管理者によって無効化されたバックエンドにリクエストを強制的に送信することが可能でした。この脆弱性はバージョン0.9.6で修正されています。

Open WebUIは完全にオフラインで動作する自己ホスト型の人工知能プラットフォームです。バージョン0.8.11以前では、ydoc:document:joinのSocket.IOハンドラがdocument_idがnote:（コロン）で始まる場合にのみノートの所有権をチェックしていました。しかし、YdocManagerのストレージ層はすべてのドキュメントIDのコロンをアンダースコアに置き換えて正規化していました（document_id.replace(":", "_")）。攻撃者はnote:id（コロン）の代わりにnote_id（アンダースコア）を使用してドキュメントルームに参加することで認可チェックを完全に回避し、同じ基盤となるYjsドキュメントにアクセスできました。サーバーはその後、完全なドキュメント状態を返し、被害者のプライベートなノート内容が漏洩しました。この脆弱性は0.8.11で修正されています。

vLLMは大規模言語モデル（LLM）の推論およびサービングエンジンです。バージョン0.23.1rc0以前のvLLMの/v1/audio/transcriptionsエンドポイントは、圧縮アップロードサイズを制限していましたが、デコード後のPCM出力サイズは制限していませんでした。25MBのOPUSファイルはデコード時に約14.9GBのfloat32 PCMに展開されます。この脆弱性はバージョン0.23.1rc0で修正されています。

vLLMは大規模言語モデル（LLM）の推論およびサービスエンジンです。0.23.1rc0以前のバージョンでは、温度の検証ゲートに比較演算子（、）を使用していましたが、PythonのIEEE 754浮動小数点セマンティクスにおいてNaNおよび正の無限大に対しては静かにFalseと評価されます。これらの両方の値はすべてのガードを通過し、GPUサンプリングカーネルに伝播されます。そこで未定義の動作やCUDAエラーを引き起こし、推論ワーカーをクラッシュさせる可能性があります。この脆弱性は0.23.1rc0で修正されました。

vLLMは大規模言語モデルの推論およびサービングエンジンです。0.23.1rc0以前のバージョンでは、エラーメッセージに含まれるオブジェクトのメモリアドレスが適切に除去されない不具合がありました。特定のレスポンス経路において、例外メッセージが未サニタイズのままクライアントに返されるため、認証されていない攻撃者が不正な画像バイトを送信するとメモリアドレス情報が漏洩する可能性がありました。この問題は0.23.1rc0で修正されています。

protobufjsはprotobuf定義をJavaScript（JS）関数にコンパイルします。バージョン8.6.0および7.6.3以前では、protobufjsはprotobufjsのランタイムヘルパーで使用されるプロパティと衝突する可能性のある特定のスキーマ由来の名前を受け入れていました。影響を受ける既知の名前には、hasOwnPropertyという名前のフィールド、protobufjsのJSON/リフレクションディスクリプター経由で読み込まれた場合の$typeのようなフィールドやoneofの名前、そして生成されたヘルパー名がrpcCallであるサービスメソッドが含まれます。影響を受けるメッセージまたはサービスタイプが使用されると、protobufjsは所有プロパティヘルパー、反映された型メタデータ、または基本RPCヘルパーを期待する場所でスキーマ制御されたデータを読み取ることがありました。これにより、影響を受けるデコード後のチェック、検証、オブジェクト変換、反映JSONシリアル化、またはprotobufjs RPCヘルパー呼び出しで決定的な例外や再帰呼び出しが発生する可能性がありました。この脆弱性はバージョン8.6.0および7.6.3で修正されています。

protobufjsはprotobuf定義をJavaScript（JS）関数にコンパイルします。バージョン8.2.0から8.4.2の間、protobufjsは不明なワイヤー要素をmessage.$unknownsに保持していましたが、不明なフィールドを破棄するためのデコード時オプションを提供していませんでした。そのため、多数の不明なフィールドを含む細工されたprotobufペイロードは、不明なフィールドのラウンドトリップが不要な場合でも、デコードされたメッセージが入力サイズよりもはるかに多くのメモリを保持する原因となっていました。protobufjs 8.5.0では関連するデコード時オプションが追加され、信頼できないprotobufデータをデコードするアプリケーションがデコード中の不明なフィールドの保持を無効化できるようになりました。protobufjs 8.6.2ではデフォルトの動作が切り替わり、不明なフィールドは明示的に許可されない限り破棄されるようになりました。

n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン2.24.0以前では、MetaおよびMicrosoft Teamsトリガーノードのエンドポイントがクエリパラメータをサニタイズせず、Content-Security-Policyヘッダーも設定されていない状態でHTTPレスポンスに反映していました。これにより、ログイン済みユーザーが細工されたURLを訪問するとn8nのオリジンでリフレクテッドXSSが発生する可能性がありました。この脆弱性はバージョン2.24.0で修正されています。

pypdfは無料でオープンソースの純粋なPython製PDFライブラリです。バージョン6.13.0以前では、この脆弱性を悪用した攻撃者が無限ループを引き起こすPDFを作成することが可能でした。この問題はレイアウトモードでテキストを抽出する際に発生します。この脆弱性は6.13.0で修正されました。

pypdfは無料でオープンソースの純粋なPython製PDFライブラリです。6.13.0以前のバージョンでは、この脆弱性を悪用する攻撃者が無限ループを引き起こすPDFを作成できます。この脆弱性は、アウトライン付きのファイルをライターにマージする処理に存在しました。この脆弱性は6.13.0で修正されました。

pypdfは無料でオープンソースの純粋なPython製PDFライブラリです。バージョン6.13.1以前では、この脆弱性を悪用した攻撃者が無限ループを引き起こすPDFを作成することができます。この脆弱性を悪用するには、スレッドや記事を含むファイルをライターにマージする操作が必要です。この脆弱性はバージョン6.13.1で修正されました。

Apache NiFi 0.0.1から2.9.0までは、標準のHostヘッダーに代わる複数のHTTPリクエストヘッダーのいずれかから修飾URLを構築することをサポートしていましたが、提供された値の検証は行われていませんでした。Apache NiFi 1.6.0では、HTTP Hostヘッダーに提供される値を制限する設定可能なアプリケーションプロパティが導入されましたが、代替のProxyおよびForwardedヘッダーにはこの検証が適用されていませんでした。プロキシホストヘッダーの検証が欠如していたため、クライアントはApache NiFiのウェブサービスに対して無効な修飾URLをリダイレクトやデータ参照のために構築させることができました。推奨される緩和策はApache NiFi 2.10.0へのアップグレードであり、これはnifi.web.proxy.hostプロパティに基づいてX-ProxyHostおよびX-Forwarded-Host HTTPリクエストヘッダーに対する検証を実装しています。ヘッダー検証を有効にするには、HTTPSでアプリケーションを構成する必要があります。Apache NiFiの前に配置されたリバースプロキシサーバーは、入力リクエストヘッダーをフィルタリングし、アプリケーションに許可された値を提供する役割を担います。

Langflowは、AIを活用したエージェントおよびワークフローの構築と展開のためのツールです。バージョン1.7.0以前では、ログアウトボタンがセッションをクリアしませんでした。別のユーザーが明示的にログインしない限り、前のユーザーがログインした状態のままになります。この脆弱性はバージョン1.7.0で修正されました。