脆弱性情報（JVN）検索・一覧

認可の欠如により機密データの漏洩および操作が発生します。影響を受ける製品は次のとおりです。Acronis Cyber Protect 16（Linux、Windows）ビルド39938以前およびAcronis Cyber Protect 15（Linux、Windows）ビルド41800以前が影響を受けます。

node.jsアプリケーションでgitコマンドを実行するためのインターフェースである「simple-git」に、バージョン3.15.0から3.32.2までの間に問題が存在します。この問題により、攻撃者は以前の複数の修正を回避して、ホストマシン上で完全なリモートコード実行を達成できます。バージョン3.23.0には、この脆弱性に対する更新された修正が含まれています。

不適切な認証により、機密情報が漏洩したり操作が行われたりする可能性があります。影響を受ける製品は、Acronis Cyber Protect 17（Linux、Windows）ビルド41186以前です。

thesystem 1.0 には、認証されていない攻撃者が run_command エンドポイントに悪意のある入力を送信することで任意のシステムコマンドを実行できるコマンドインジェクションの脆弱性があります。攻撃者は command パラメータにシェルコマンドを含む POST リクエストを送信することで、認証なしにサーバー上で任意のコードを実行できます。

Online-Exam-System 2015には、フィードバックモジュールにSQLインジェクションの脆弱性が存在し、攻撃者は'fid'パラメータを通じてデータベースクエリを操作可能です。攻撃者は'fid'パラメータに悪意のあるSQLコードを注入して、データベース情報を抽出、変更、または削除できます。

適切に保護されていないファイル管理機能のため、認証されていないユーザーが危険なデータタイプをアップロードでき、リモートコードが実行される可能性があります。

DevToysは開発者向けのデスクトップアプリケーションです。バージョン2.0.0.0から2.0.9.0未満の間に、DevToysの拡張機能インストール機構にパストラバーサルの脆弱性が存在していました。拡張機能パッケージ（NUPKGアーカイブ）を処理する際、DevToysはアーカイブ内のファイルパスを十分に検証していませんでした。悪意のある拡張機能パッケージは、../../…/target-fileのような細工されたファイルエントリを含めることができ、それにより展開処理が拡張機能用ディレクトリの外部にファイルを書き込んでしまいます。この欠陥により、攻撃者はDevToysプロセスの権限で任意のファイルを上書きすることが可能でした。環境によっては、これによってコードの実行や設定の改ざん、アプリケーションやシステムファイルの破損が発生する可能性があります。この問題はバージョン2.0.9.0で修正されています。

XikeStor SKS8310-8X ネットワークスイッチのファームウェアバージョン1.04.B07およびそれ以前のバージョンには、/goform/PingTestSet エンドポイントにOSコマンドインジェクションの脆弱性が存在します。この脆弱性により、認証されていないリモート攻撃者が任意のオペレーティングシステムコマンドを実行できます。攻撃者は destIp パラメータを通じて悪意のあるコマンドを注入し、ネットワークスイッチ上でルート権限によるリモートコード実行を達成できます。

XikeStor SKS8310-8X ネットワークスイッチのファームウェアバージョン1.04.B07およびそれ以前には、/goform/SetLogin エンドポイントに予測可能なセッション識別子の脆弱性が存在し、リモートの攻撃者が認証済みセッションを乗っ取る可能性があります。攻撃者は、十分にランダムでないクッキー値を利用してセッション識別子を予測し、URL内に露出したセッションパラメータを悪用することで認証ユーザーのセッションに不正にアクセスできます。

PingoraのHTTP/1.1接続アップグレード処理にHTTPリクエストスマグリングの脆弱性（CWE-444）が発見されました。この問題は、PingoraプロキシがUpgradeヘッダーを含むリクエストを読み取る際に発生し、バックエンドがアップグレードを受け入れる前に接続上の残りのバイトをバックエンドに透過的に渡してしまうことが原因です。これにより、攻撃者はUpgradeヘッダー付きリクエストの後に悪意のあるペイロードを直接バックエンドに転送し、それが後続のリクエストヘッダーとして解釈される可能性があり、プロキシレベルのセキュリティ制御を回避してクロスユーザーセッションのハイジャックを可能にします。影響として、この脆弱性は主に外部トラフィックにさらされた単独のPingoraプロキシ展開に影響を及ぼします。攻撃者はこれを悪用して、* プロキシレベルのACL制御およびWAFロジックを回避し、* キャッシュおよび上流接続を汚染して正規ユーザーの後続リクエストがスマグリングされたリクエスト向けのレスポンスを受け取るようにし、* 信頼されたプロキシIPから発信されたように見えるリクエストのスマグリングやセッションハイジャックによるクロスユーザー攻撃を実行します。CloudflareのCDNインフラはこの脆弱性の影響を受けませんでした。CDNスタック内のイングレスプロキシは適切なHTTPパース境界を維持し、アップグレード接続の転送モードに早期に切り替えています。緩和策として、PingoraユーザーはPingora v0.8.0以上にアップグレードすべきです。ワークアラウンドとしては、アップグレードヘッダーを含むリクエストを検出した場合にリクエストフィルターでエラーを返し、リクエストヘッダー以降のバイト処理を停止し、下流接続の再利用を無効化することを推奨します。

PingoraのHTTP/1.0およびTransfer-Encodingリクエストの解析において、HTTPリクエストスミuggling脆弱性（CWE-444）が発見されました。この問題は、HTTP/1.0リクエストボディが不適切にクローズデリミテッドとして許可され、複数のTransfer-Encoding値が誤って処理されるために発生し、攻撃者がPingoraのリクエストフレーミングをバックエンドサーバーと同期しないHTTP/1.0リクエストを送信可能にします。影響範囲として、本脆弱性は主にHTTP/1.0リクエストを受け入れる特定のバックエンドの前に単独で配置されたPingoraに影響します。攻撃者は、このリクエストに続く悪意あるペイロードを作成し、Pingoraがバックエンドに転送することで、以下の行為を実行する可能性があります。* プロキシレベルのACL制御およびWAFロジックを回避する* キャッシュおよびアップストリーム接続を汚染し、正当なユーザーからの後続リクエストがスミugglingされたリクエストに意図されたレスポンスを受け取るようにする* セッションをハイジャックしたり、信頼されたプロキシIPから発信されたように見えるリクエストをスミugglingしてクロスユーザー攻撃を実行するCloudflareのCDNインフラストラクチャは、この脆弱性の影響を受けませんでした。なぜなら、イングレスプロキシ層がHTTP/1.1リクエストのみを転送し、不明確なフレーミング（無効なContent-Length値など）を拒否し、チャンクドリクエストに対して単一のTransfer-Encoding: chunkedヘッダーのみを転送していたからです。緩和策として、Pingoraユーザーは、本問題を修正し、RFC 9112に従ったメッセージ長ヘッダーの正しい解析およびHTTPリクエストボディが決してクローズデリミテッドされないことを含むより厳密なRFCガイドラインへの準拠を実現したPingora v0.8.0以上にアップグレードすべきです。回避策として、ユーザーはリクエストフィルタロジック内で特定のリクエストをエラーとして拒否し、接続上のバイト処理を停止して下流の接続再利用を無効にできます。具体的には、HTTP/1.1以外のリクエスト、無効なContent-Lengthを持つリクエスト、複数のTransfer-Encodingヘッダーを持つリクエスト、または正確に「chunked」という文字列と一致しないTransfer-Encodingヘッダーを持つリクエストを拒否すべきです。

OneUptimeはオンラインサービスの監視と管理のためのソリューションです。バージョン10.0.18より前のOneUptimeでは、プロジェクトメンバーがSynthetic Monitorsを通じてカスタムのPlaywright/JavaScriptコードを実行し、ウェブサイトをテストできました。しかし、このシステムは信頼されていないユーザーコードをNode.jsの安全でないvmモジュール内で実行しています。標準的なプロトタイプチェーンのエスケープ手法（this.constructor.constructor）を利用することで、攻撃者はサンドボックスを回避し、基盤となるNode.jsのprocessオブジェクトにアクセスして、oneuptime-probeコンテナ上で任意のシステムコマンド（リモートコード実行：RCE）を実行できます。さらに、プローブは環境変数にデータベースやクラスターの認証情報を保持しているため、この脆弱性を利用するとクラスター全体を完全に侵害できます。この脆弱性はバージョン10.0.18で修正されました。

OneUptimeは、オンラインサービスの監視および管理のためのソリューションです。バージョン10.0.20以前のOneUptime Synthetic Monitorsにおいては、権限の低いプロジェクトユーザーがカスタムPlaywrightコードを送信でき、そのコードがoneuptime-probeサービス上で実行されていました。現在の実装では、この信頼されていないコードがNodeのvm内で実行され、ブラウザやページなどのライブホストのPlaywrightオブジェクトが渡されます。これにより特有のサーバーサイドRCE（リモートコード実行）のリスクが発生します。攻撃者は従来のthis.constructor.constructor(...)によるサンドボックス脱出を必要とせず、直接注入されたPlaywrightのブラウザオブジェクトを使用してbrowser.browserType().launch(...)を呼び出し、プローブホストまたはコンテナ上で任意の実行ファイルを起動できました。この脆弱性はバージョン10.0.20で修正されています。

OneUptimeはオンラインサービスの監視および管理のためのソリューションです。バージョン10.0.20以前のOneUptimeでは、低権限ユーザーが偽造したis-multi-tenant-queryヘッダーと制御されたprojectidヘッダーを送信することで、認証およびテナントの分離を回避できました。サーバーがこのクライアントから提供されたヘッダーを信頼するため、BasePermission内の内部権限チェックがスキップされ、テナントスコープが無効になりました。これにより攻撃者は他のテナントに属するプロジェクトデータにアクセスし、ネストされたリレーションを介して機微なユーザーフィールドを読み取り、平文のresetPasswordTokenを漏洩させ、被害者のパスワードをリセットしてアカウントを完全に乗っ取ることが可能になりました。この脆弱性により、テナント間でデータ漏洩およびアカウントの完全乗っ取りが発生します。この問題はバージョン10.0.21で修正されました。

OneUptimeはオンラインサービスの監視および管理のためのソリューションです。バージョン10.0.21以前では、OneUptime Synthetic Monitorsにおいて、権限の低い認証済みプロジェクトユーザーがoneuptime-probeサーバー/コンテナ上で任意のコマンドを実行できる問題がありました。根本原因は、信頼されていないSynthetic MonitorのコードがNodeのvm内で実行される際に、ライブのホストレルムPlaywrightブラウザおよびページオブジェクトがそれに公開されていることです。悪意のあるユーザーは注入されたブラウザオブジェクト上でPlaywrightのAPIを呼び出し、プローブに攻撃者が制御する実行ファイルを起動させることが可能です。これはサーバー側のリモートコード実行の問題であり、別途vmサンドボックスのエスケープを必要としません。この脆弱性はバージョン10.0.21で修正されています。

itsourcecode University Management System 1.0 に脆弱性が判明しました。この脆弱性は /att_add.php ファイルの不明なコードに影響を与えます。引数 Name の操作によって SQL インジェクションが発生します。この攻撃はリモートから開始される可能性があります。エクスプロイトは公開されており、悪用される恐れがあります。

cn_NrSmMsgHdlrFromMM.cpp の MM_DATA_IND においてメモリ破損が発生し、特権昇格の可能性があります。これにより、追加の実行権限を必要とせずにリモートで特権を昇格させる可能性があります。悪用する際にユーザーの操作は不要です。

ns_SmscbUtilities.cのns_GetUserDataにおいて、不正な境界チェックにより境界外への書き込みが発生する可能性があります。これにより、追加の実行権限を必要とせずにリモートから特権昇格が引き起こされる可能性があります。利用者の操作は攻撃には必要ありません。

ns_SmscbUtilities.c の ns_GetUserData において、不適切な境界チェックによりバッファの境界外への書き込みが発生する可能性があります。これにより、追加の実行権限を必要とせずにリモートで権限昇格が引き起こされる恐れがあります。悪用するためにユーザーの操作は必要ありません。

モデムにおいて、不適切な境界チェックにより境界外書き込みが発生する可能性があります。これにより、追加の実行特権を必要とせずにリモートコードを実行できる恐れがあります。悪用のためにユーザーの操作は必要ありません。

mfc_core_isr.cの__mfc_handle_released_bufにおいて、境界チェックが欠如しているため、バッファの境界外への書き込みが発生する可能性があります。これにより、追加の実行権限を必要とせずにリモートでコードを実行できる恐れがあります。悪用にはユーザーの操作が不要です。

モデムにおいて不適切な境界チェックがあるため、境界外書き込みが発生する可能性があります。これにより、追加の実行権限を必要とせずにリモートコードを実行できる恐れがあります。攻撃にはユーザーの操作が必要ありません。

OpenClawのバージョン2026.1.29から2026.2.1未満には、Twitchプラグイン（インストールおよび有効化が必要）に脆弱性があります。この脆弱性は、allowedRolesが設定されていないか空の場合にallowFromの許可リストを適切に適用しないため、不正なTwitchユーザーがエージェントのディスパッチをトリガーできることによって発生します。リモートの攻撃者はTwitchチャットでボットに言及することでアクセス制御を回避し、エージェントパイプラインを呼び出すことができ、その結果、意図しない操作やリソースの枯渇を引き起こす可能性があります。

OpenClawの2026年2月14日以前のバージョンには、Feishu拡張機能にサーバーサイドリクエストフォージェリ（SSRF）脆弱性が含まれており、攻撃者はsendMediaFeishu関数およびmarkdown画像処理を介してSSRF保護なしに攻撃者が制御するリモートURLを取得できる可能性があります。攻撃者は、直接操作やプロンプトインジェクションを通じてツール呼び出しに影響を与え、内部サービスへのリクエストを引き起こし、その応答をFeishuメディアとして再アップロードすることが可能です。

OpenClawの2026.2.2以前のバージョンには、exec承認（有効にする必要あり）のホワイトリスト回避の脆弱性が含まれており、攻撃者がコマンド置換構文を注入して任意のコマンドを実行できる可能性があります。攻撃者は、二重引用符で囲まれた文字列内にエスケープされていない$()またはバッククォートを埋め込むことでホワイトリストの保護を回避し、不正なコマンドを実行します。

Flowiseは、カスタマイズされた大規模言語モデルのフローを構築するためのドラッグ＆ドロップユーザーインターフェースです。バージョン3.0.13以前では、/api/v1/attachments/:chatflowId/:chatIdエンドポイントがWHITELIST_URLSにリストされており、認証なしでファイルアップロードAPIにアクセスできました。サーバーはchatbotConfig.fullFileUpload.allowedUploadFileTypesに定義されたMIMEタイプに基づいてアップロードを検証しますが、ファイルの実際の内容（マジックバイト）や拡張子（file.originalname）を検証せず、クライアントから提供されるContent-Typeヘッダー（file.mimetype）を暗黙のうちに信頼していました。そのため、攻撃者はContent-Typeを許可されたタイプ（例：application/pdf）に偽装しつつ、悪意のあるスクリプトや任意のファイルをアップロードすることでこの制限を回避できます。addArrayFilesToStorageを介してアップロードされたこれらのファイルは、バックエンドストレージ（S3、GCS、またはローカルディスク）に永続化されます。この脆弱性は、静的ホスティングやファイル取得などの他の機能と連携すると、Stored XSSや悪意のあるファイルホスティング、またはリモートコード実行（RCE）につながるクリティカルな侵入口になります。この問題はバージョン3.0.13で修正されました。

Flowiseは、カスタマイズされた大規模言語モデルのフローを構築するためのドラッグ＆ドロップ式ユーザーインターフェースです。バージョン3.0.13以前では、NVIDIA NIMルーター（/api/v1/nvidia-nim/*）がグローバル認証ミドルウェアのホワイトリストに登録されており、認証されていないユーザーでも特権のあるコンテナ管理およびトークン生成のエンドポイントにアクセス可能な状態でした。この問題はバージョン3.0.13で修正されました。

Soft Serveはコマンドライン用のセルフホスト可能なGitサーバーです。バージョン0.6.0から0.11.4未満の間、認証されたSSHユーザーが細工された--lfs-endpoint URLを使ってrepo importを実行することで、サーバーに内部やプライベートIPアドレスへのHTTPリクエストを強制させることができます。最初のバッチリクエストはブラインドで（メタデータエンドポイントからのレスポンスは有効なLFS JSONとして解析されません）でしたが、攻撃者が偽のLFSサーバーをホストし、ダウンロードURLを内部ターゲットに向けることで、内部サービスへの完全な読み取りアクセスを得ることが可能です。この問題はバージョン0.11.4で修正されました。

Parse ServerはNode.jsを実行できる任意のインフラストラクチャに展開可能なオープンソースのバックエンドです。バージョン9.5.2-alpha.8および8.6.21より前には、Parse Serverのクエリ処理に脆弱性が存在し、認証済みまたは未認証の攻撃者がredirectClassNameForKeyクエリパラメータを悪用して他のユーザーのセッショントークンを窃取できました。窃取されたセッショントークンはユーザーアカウントの乗っ取りに使用される恐れがあります。この脆弱性を悪用するためには、攻撃者が少なくとも1つのクラスのクラスレベル権限に依存して、新しいリレーションフィールドを持つオブジェクトを作成または更新できる必要があります。この問題はバージョン9.5.2-alpha.8および8.6.21で修正されています。

Parse ServerはNode.jsを実行できる任意のインフラストラクチャにデプロイ可能なオープンソースのバックエンドです。バージョン9.5.2-alpha.7および8.6.20以前のバージョンでは、役割メンバーシップなどのRelationフィールドのマッピングを保存する内部テーブルに、アプリケーションキーのみを使用する任意のクライアントがREST APIまたはGraphQL APIを介して直接アクセス可能でした。マスターキーは不要でした。攻撃者は任意の内部リレーションシップテーブルのレコードを作成、読み取り、更新、または削除できます。これを悪用することで、攻撃者は自身を任意のParse Roleに注入し、そのロールに関連するすべての権限を取得できます。これにはロールベースのクラスレベル権限（CLP）で保護されたクラスへの完全な読み取り、書き込み、削除アクセスが含まれます。同様に、pointerFields CLPで使用されるRelationフィールドをサポートする任意のテーブルへの書き込みは、そのアクセス制御を回避します。この脆弱性はバージョン9.5.2-alpha.7および8.6.20で修正されています。

Parse ServerはNode.jsを実行できる任意のインフラストラクチャにデプロイ可能なオープンソースのバックエンドです。バージョン9.5.2-alpha.12および8.6.25以前では、_GraphQLConfigおよび_Audienceという内部クラスが、マスターキー認証なしで汎用の/classes/_GraphQLConfigおよび/classes/_Audience REST API経由で読み取り、変更、および削除される可能性がありました。これは専用の/graphql-configおよび/push_audiencesエンドポイントで存在するマスターキーの強制を回避するものです。攻撃者はGraphQLの設定およびプッシュオーディエンスのデータを読み取り、変更、および削除できます。この脆弱性はバージョン9.5.2-alpha.12および8.6.25で修正されています。

LaraDashboardはLaravelアプリケーションを開始するためのオールインワンソリューションです。バージョン2.3.0およびそれ以前では、パスワードリセットフローがHostヘッダーを信頼しており、攻撃者が管理者のリセットトークンを攻撃者が制御するサーバーにリダイレクトできる状態でした。これにより、モジュールインストールプロセスと組み合わせてServiceProvider::boot()メソッドを自動的に実行させることが可能となり、任意のPHPコードを実行できるようになっています。

不十分な認可の強制により、未承認のリモート攻撃者がwwwupdate.cgiエンドポイントを悪用して任意のアップデートをアップロードおよび適用できます。

認証権限が不十分な強制により、未許可のリモート攻撃者がwwwupload.cgiエンドポイントを悪用して任意のデータをアップロードおよび適用できます。これには連絡先画像、HTTPS証明書、復元用のシステムバックアップ、サーバーピア設定、およびBACnet/SCサーバー証明書とキーが含まれますが、これらに限定されません。

mchange-commons-javaはJavaのユーティリティを提供するライブラリであり、JNDI機能の初期実装を模倣したコードを含んでいます。この中にはリモートの`factoryClassLocation`値をサポートする機能があり、これによって実行中のアプリケーション内でコードをダウンロードして呼び出すことが可能です。攻撃者が悪意のある細工を施した`javax.naming.Reference`またはシリアライズされたオブジェクトをアプリケーションに読み込ませると、悪意のあるコードのダウンロードと実行が引き起こされます。JDK内のこの機能の実装はデフォルトで`false`に設定されているシステムプロパティ`com.sun.jndi.ldap.object.trustURLCodebase`によって無効化されています。しかしmchange-commons-javaはJNDIの参照解決を独自に実装しているため、その実装を通じて参照を解決するc3p0などのライブラリは、JDKが強化された後でも悪意のあるコードのダウンロードと実行が発生する可能性があります。JDKの修正を反映し、mchange-commons-javaのJNDI機能はバージョン0.4.0以降、制限的なデフォルト値の構成パラメータによって制御されています。既知の回避策は存在しません。0.4.0より前のバージョンはアプリケーションクラスパス上での使用を避けるべきです。

Apache ArtemisおよびApache ActiveMQ Artemisにおける重要な機能の認証欠如（CWE-306）脆弱性です。認証されていないリモート攻撃者はCoreプロトコルを利用して対象のブローカーに対し、攻撃者が管理する悪意のあるブローカーとのアウトバウンドCoreフェデレーション接続を強制的に確立させることができます。これにより、悪意のあるブローカーを通じて任意のキューへのメッセージ注入および／または任意のキューからのメッセージ流出が発生する可能性があります。本脆弱性は以下の環境に影響します。信頼されていないソースからのブローカーへのCoreプロトコル接続の受け入れ、およびブローカーから信頼されていないターゲットへのCoreプロトコルのアウトゴーイング接続です。本問題は以下のバージョンに影響します。Apache Artemis 2.50.0から2.51.0まで、およびApache ActiveMQ Artemis 2.11.0から2.44.0までです。ユーザーは、この問題を修正したApache Artemisバージョン2.52.0へのアップグレードを推奨します。問題の緩和策として以下のいずれかが有効です。信頼されていないソースからの接続を受け付けるアクセプタからCoreプロトコルのサポートを削除してください。デフォルトでは、61616ポートで待機する"artemis"アクセプタからCoreプロトコルの受け入れがサポートされています。アクセプタに構成されている"protocols" URLパラメータを確認してください。このパラメータが無いアクセプタURLはCoreを含むすべてのプロトコルをデフォルトでサポートします。双方向SSL（すなわち証明書ベースの認証）を使用し、接続確立時にすべてのクライアントが適切なSSL証明書を提示することを強制してください。これにより、メッセージプロトコルのハンドシェイクの前に認証されていない悪用を防止できます。

DSA Study Hubはインタラクティブな教育用ウェブアプリケーションです。コミットd527fba以前のserver/routes/auth.jsのユーザー認証システムには、不十分に保護された認証情報の脆弱性が存在していました。認証トークン（JWT）はペイロードの暗号化保護なしにHTTPクッキーに保存されていましたが、この問題はコミットd527fbaによって修正されました。

Backstageは開発者ポータルを構築するためのオープンフレームワークです。バージョン1.14.3以前には、任意のコード実行を可能にする設定バイパスの脆弱性が存在しました。@backstage/plugin-techdocs-nodeパッケージは、ドキュメントのビルドプロセス中に危険なMkDocs設定キーをフィルタリングするために許可リストを使用していますが、この許可リストの隙間により、攻撃者はmkdocs.ymlを巧妙に作成して任意のPythonコードを実行し、TechDocsのセキュリティ制御を完全にバイパスできます。この問題はバージョン1.14.3で修正されました。

Perl用のCrypt::Sodium::XSモジュールのバージョン0.000042未満には、脆弱なバージョンのlibsodiumが含まれています。libsodiumのバージョン1.0.20以下、または2025年12月30日以前にリリースされたlibsodiumのバージョンには、セキュリティ上の問題があります。このlibsodiumの問題は、特定のカスタム暗号やcrypto_core_ed25519_is_valid_pointに対する信頼できないデータを含む非典型的な使用例において、楕円曲線の点が有効かどうかのチェックを誤って処理し、メインの暗号グループに属さない点を許可してしまうために発生します。バージョン0.000042には、2026年1月3日にリリースされた1.0.20-stableに更新されたlibsodiumが含まれており、この問題は修正されています。

Perl用のConcierge::Sessionsバージョン0.8.1から0.8.5未満には、安全でないセッションIDが生成される脆弱性があります。Concierge::Sessions::Baseのgenerate_session_id関数はUUIDを生成するためにデフォルトでuuidgenコマンドを使用し、失敗した場合はPerlの組み込みrand関数にフォールバックします。しかし、これらの方法はいずれも安全ではなく、攻撃者はシステムへのアクセスを許可するsession_idを推測できる可能性があります。具体的には、* uuidgenが失敗しても警告が出ません。コマンドが何らかの理由で失敗しても、ソフトウェアは警告なしにフォールバックのrand()関数を静かに使用します。* システムに高品質な乱数生成源がない場合、uuidgenコマンドは--randomオプションが明示的に指定されていないため、時間ベースのUUIDを生成します。なお、システム時間はHTTPレスポンスで共有されます。* UUIDは所有するだけでアクセスが許可される識別子であり、これはRFC 9562に準拠しています。* 組み込みのrand()関数の出力は予測可能であり、セキュリティ用途には不適切です。