全国公的データラボ脆弱性情報（JVN）
脆弱性情報（JVN）検索・一覧
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 289,806 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
直近1年 の検索結果：2,041–2,080 件目を表示（ページ 52）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
Oracle E-Business Suite の Oracle Advanced Outbound Telephony 製品（コンポーネント：Internal Operations）における脆弱性により、サポート対象バージョンである 12.2.3 から 12.2.15 までの環境で、HTTP 経由でネットワークアクセスが可能な権限の低い攻撃者が、Oracle Advanced Outbound Telephony の制御を奪取する可能性があります。この脆弱性を悪用されると、機密性、完全性、及び可用性に重大な影響を与える恐れがあります。CVSS 3.1 基本スコアは 8.8 です。
Oracle E-Business SuiteのOracle Human Resources製品（コンポーネント：Person）における脆弱性です。影響を受けるサポート対象バージョンは12.2.3から12.2.15です。この脆弱性は攻撃が困難であり、HTTP経由でネットワークアクセスが可能な認証されていない攻撃者がOracle Human Resourcesに侵入する可能性があります。成功する攻撃には、攻撃者以外の人物による人為的な操作が必要です。この脆弱性が悪用されると、Oracle Human Resourcesが乗っ取られる可能性があります。CVSS 3.1基本スコアは7.5であり、機密性、完全性、可用性に影響を与えます。CVSSベクターは次のとおりです：(CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H)。
Oracle E-Business SuiteのOracle iSupplier Portal製品（コンポーネント：内部操作）における脆弱性です。影響を受けるサポート対象バージョンは12.2.3から12.2.15までとなっています。HTTP経由でネットワークアクセスを持つ低権限の攻撃者が悪用することは困難ですが、Oracle iSupplier Portalを侵害する恐れがあります。この脆弱性を悪用した攻撃が成功すると、Oracle iSupplier Portalが乗っ取られる可能性があります。CVSS 3.1基本スコアは7.5で、機密性、完全性、可用性に影響を与えます。CVSSベクターは(CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H)です。
Oracle E-Business SuiteのOracle Subledger Accounting製品（コンポーネント：内部操作）における脆弱性です。影響を受けるサポート対象バージョンは12.2.3から12.2.15です。悪用が困難な脆弱性のため、HTTP経由でネットワークアクセス可能な低権限の攻撃者がOracle Subledger Accountingを侵害する可能性があります。この脆弱性の成功した攻撃は、Oracle Subledger Accountingの乗っ取りを引き起こします。CVSS 3.1基本スコアは7.5（機密性、完全性、可用性に影響）。CVSSベクターは次の通りです：(CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H)。
Oracle E-Business Suite の Oracle Subledger Accounting 製品（コンポーネント：Internal Operations）に脆弱性が存在します。影響を受けるサポート対象バージョンは12.2.3から12.2.15です。悪用が困難な脆弱性ですが、HTTP 経由でネットワークアクセス権を持つ低権限の攻撃者が Oracle Subledger Accounting に侵入する可能性があります。この脆弱性を悪用した攻撃が成功すると、Oracle Subledger Accounting を乗っ取られる可能性があります。CVSS 3.1 基本スコアは7.5であり、機密性、完全性、可用性に影響を与えます。CVSS ベクターは（CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H）です。
Oracle E-Business SuiteのOracle Universal Work Queue製品における脆弱性（コンポーネント：Work Provider Site Level Administration）が報告されています。影響を受けるサポート対象バージョンは12.2.3から12.2.15までです。HTTP経由のネットワークアクセスを持つ権限の低い攻撃者が簡単に悪用可能なこの脆弱性により、Oracle Universal Work Queueが侵害される恐れがあります。この脆弱性はOracle Universal Work Queueに存在しますが、攻撃により追加の製品に大きな影響を及ぼす可能性があります（スコープ変更）。この脆弱性の攻撃に成功すると、Oracle Universal Work Queueを乗っ取られる恐れがあります。CVSS 3.1基本スコアは9.9で、機密性、完全性、可用性に影響を与えます。CVSSベクターは（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H）です。
Oracle E-Business SuiteのOracle Universal Work Queue製品（コンポーネント：Work Provider Site Level Administration）における脆弱性です。影響を受けるサポート対象バージョンは12.2.3から12.2.15までです。ネットワーク経由のHTTPアクセスを持つ低権限の攻撃者が簡単に悪用でき、Oracle Universal Work Queueを侵害する可能性があります。この脆弱性はOracle Universal Work Queueに存在しますが、攻撃は他の製品にも重大な影響を及ぼす可能性があります（スコープの変更があります）。この脆弱性を悪用した攻撃に成功すると、Oracle Universal Work Queueの制御を奪われる可能性があります。CVSS 3.1基本スコアは9.9で、機密性、完全性、可用性に影響を及ぼします。CVSSベクターは（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H）です。
Oracle E-Business SuiteのOracle Universal Work Queue製品（コンポーネント：Work Provider Site Level Administration）における脆弱性です。影響を受けるサポート対象バージョンは12.2.3から12.2.15です。HTTP経由でネットワークアクセスが可能な低権限の攻撃者によって容易に悪用され、Oracle Universal Work Queueが侵害される恐れがあります。この脆弱性を突く攻撃が成功すると、Oracle Universal Work Queueが乗っ取られる可能性があります。CVSS 3.1基本スコアは8.8で、機密性、完全性、可用性に影響を与えます。CVSSベクターは（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）です。
Oracle E-Business SuiteのOracle Universal Work Queue製品（コンポーネント：Work Provider Site Level Administration）に存在する脆弱性です。影響を受けるサポート対象バージョンは12.2.3から12.2.15までです。利用が困難な脆弱性により、HTTP経由でネットワークアクセス可能な低特権の攻撃者がOracle Universal Work Queueを侵害する可能性があります。この脆弱性を悪用した攻撃が成功すると、Oracle Universal Work Queueが乗っ取られる可能性があります。CVSS 3.1基本スコアは7.5で、機密性、完全性および可用性に影響を与えます。CVSSベクターは（CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H）です。
Oracle E-Business Suite の Oracle Public Sector Financials (International) 製品（コンポーネント: Authorization）において脆弱性が存在します。影響を受けるサポート対象バージョンは 12.2.3 から 12.2.15 です。HTTP 経由でネットワークアクセス可能な低権限の攻撃者が悪用しやすい脆弱性により、Oracle Public Sector Financials (International) の安全性が損なわれる可能性があります。この脆弱性を悪用した攻撃が成功すると、Oracle Public Sector Financials (International) を乗っ取られる恐れがあります。CVSS 3.1 基本評価スコアは 8.8 で、機密性、完全性、可用性に影響を与えます。CVSS ベクターは (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) です。
Oracle VirtualizationのOracle VM VirtualBox製品（コンポーネント：Core）に脆弱性があります。影響を受けるサポート対象バージョンは7.2.8です。この脆弱性は悪用が困難ですが、ログオンした高権限の攻撃者がOracle VM VirtualBoxが実行されているインフラストラクチャを危険にさらす可能性があります。脆弱性はOracle VM VirtualBoxに存在しますが、攻撃は追加の製品に大きな影響を与える可能性があります（スコープ変更が発生します）。この脆弱性を利用した攻撃が成功すると、Oracle VM VirtualBoxの制御を奪われます。CVSS 3.1基本スコアは7.5で、機密性、完全性および可用性に影響を与えます。CVSSベクターは(CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H)です。
Oracle VirtualizationのOracle VM VirtualBox製品（コンポーネント：VMSVGAデバイス）に脆弱性があります。影響を受けるサポート対象バージョンは7.2.8です。インフラストラクチャにログオンできる高権限の攻撃者が容易に悪用できる脆弱性により、Oracle VM VirtualBoxを実行している環境が侵害される可能性があります。この脆弱性はOracle VM VirtualBoxに存在しますが、攻撃は他の製品にも大きな影響を与える可能性があります（範囲変更）。この脆弱性を悪用すると、Oracle VM VirtualBoxでアクセス可能なデータの一部に対して不正な読み取りアクセスが発生する可能性があります。CVSS 3.1基本スコアは3.2（機密性への影響）です。CVSSベクターは次の通りです：(CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:L/I:N/A:N)。
認証されたユーザーが権限を持たないアラートグループに関連付けられたアラートインスタンスにアクセスできてしまう問題です。この問題はApache DolphinSchedulerに影響し、バージョン3.4.2より前のバージョンに存在します。ユーザーには、この問題を修正したバージョン3.4.2へのアップグレードを推奨します。
Adobe Acrobat PDF Extension（Chrome）バージョン26.5.2.2以前にはUXSSクラスのクロスオリジンデータ漏洩の脆弱性が存在します。攻撃者はこの脆弱性を悪用して被害者のセッションに関するデータにアクセスする可能性があります。この問題を悪用するためには、被害者が悪意のあるURLを訪問するか、改ざんされたウェブページとやり取りするというユーザーの操作が必要です。スコープが変更されます。
Rocket.Chatのバージョン8.5.1未満、8.4.4、8.3.6、8.2.6、8.1.6、8.0.7、7.13.9、7.10.13には、Livechatファイルにおけるアクセス制御の脆弱性があります。/file-upload/:fileId/:nameで保護されたファイルのダウンロードは、rc_room_type=lとrc_ridおよびrc_tokenを使用してlivechatアクセスを許可しますが、認証処理はrc_ridが要求されたファイルのridと一致するかどうかを検証しません。さらに、:fileIdは連続したMongoDBのIDで予測可能であり、:nameは任意であるため、認証されていないユーザーでもすべてのアップロードファイルを発見できてしまいます。
wsはNode.js向けのオープンソースのWebSocketクライアントおよびサーバーです。バージョン1.1.0から5.2.5（5.2.5を含まない）まで、6.0.0から6.2.4まで、7.0.0から7.5.11まで、そして8.0.0から8.21.0までのすべてのバージョンにおいて、メモリ枯渇によるDoS（サービス拒否）脆弱性が存在します。ピアはわずかなネットワークトラフィックを使用して非常に小さなフラグメントおよびデータチャンクを大量に送信し、リモートピアに対してデフォルトの文書化されたメッセージサイズ制限をはるかに超えるメモリを消費する構造的ラッパーの割り当てと保持を強制できます。その結果、OOM（メモリ不足）によりプロセスが終了する可能性があります。この問題はバージョン5.2.5、6.2.4、7.5.11、および8.21.0で修正されています。
Rocket.Chatのバージョン8.5.1、8.4.4、8.3.6、8.2.6、8.1.6、8.0.7、7.13.9、および7.10.13には、認証されていないファイル削除の脆弱性があります。deleteFileMessage Meteorメソッドは、認証を必要とせずにIDによってアップロードされたファイルを永久に削除します。未認証のDDP WebSocket接続を通じて呼び出された場合、Meteor.userId()はnullを返し、その結果、認可チェックがスキップされます。処理はFileUpload.getStore('Uploads').deleteById(fileID)に進み、ファイルをストレージとデータベースから無条件に削除します。ファイルIDは公開チャンネルのメッセージペイロードやダウンロードURLから特定できます。
リモートの攻撃者がDefaultLdapRealmクラスのDistinguished Name（DN）構築時にLDAPの特殊文字を注入できます。ユーザーが入力したユーザー名はRFC 2253の特殊文字のエスケープ処理を行わずにLDAP DNテンプレートに直接連結されます。これにより、攻撃者はLDAPバインド認証に使用されるDN構造を操作でき、認証を回避したり他ユーザーになりすましたりすることが可能です。この問題は、DefaultLdapRealmを使用するすべてのApache Shiroバージョン2.2.0および3.0.0-alpha-1に影響します。問題を修正したApache Shiro 2.2.1または3.0.0-alpha-2以降にアップグレードしてください。
認証済みのOSコマンドインジェクションの脆弱性が、TL-WR940N v6のIPv6 PPPoE設定ハンドラにおけるユーザー入力の不適切なサニタイズによって存在します。管理者権限を持つ攻撃者は、この問題を悪用して権限昇格した状態で任意のシステムコマンドを実行できます。
TL-WR940N v6のBigPond Cable (BPA) WAN設定モジュールには、ユーザー入力が適切にサニタイズされていないため、認証済みのOSコマンドインジェクションの脆弱性があります。この問題を悪用すると、管理者権限を持つ攻撃者が権限を昇格させて任意のシステムコマンドを実行する可能性があります。
Windows版Google Chromeのバージョン149.0.7827.155以前のWebShareにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してレンダラープロセスを乗っ取り、サンドボックスを脱出する可能性がありました。
Android版Google Chromeの149.0.7827.155より前のバージョンにおけるWebViewの不適切な実装により、リモートの攻撃者が細工されたHTMLページを通じてレンダラープロセスを乗っ取り、サンドボックスから脱出する可能性がありました。
Google Chromeのバージョン149.0.7827.155より前のDigital CredentialsにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してヒープ破損を引き起こす可能性がありました。
Windows版Google Chromeのバージョン149.0.7827.155以前のDigital CredentialsにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックスを回避できる可能性がありました。
Linux上のGoogle Chromeのバージョン149.0.7827.155以前に存在したファイル入力のUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してヒープ破損を引き起こす可能性がありました。
Android版Google Chromeの149.0.7827.155以前のPasswordsにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介して任意のコードを実行できる可能性がありました。
Google Chrome 149.0.7827.155より前のバージョンに存在するWeb認証のUse after free脆弱性により、リモートの攻撃者が細工されたHTMLページを介して任意のコードを実行できる可能性があります。
Windows 上の Google Chrome 149.0.7827.155 より前のバージョンの Chromoting において、範囲外読み取りの脆弱性が存在しました。この脆弱性により、ローカルの攻撃者が悪意のあるファイルを介してプロセスメモリから潜在的に機密情報を取得できる可能性がありました。
Google Chromeの149.0.7827.155以前のバージョンにおいて、拡張機能のUse after freeの脆弱性が存在していました。この脆弱性により、攻撃者は悪意のある拡張機能をインストールさせることに成功し、細工されたChrome拡張機能を通じてヒープ破損を悪用する可能性がありました。
149.0.7827.155以前のGoogle Chromeにはパスワードの実装に不適切な点があり、リモートの攻撃者が細工されたHTMLページを介してクロスオリジンデータを漏洩させる可能性がありました。
Google Chromeのバージョン149.0.7827.155未満のWebRTCにヒープバッファオーバーフローの脆弱性が存在し、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。
AndroidのGoogle Chromeバージョン149.0.7827.155未満のWebViewにおける不適切な実装のため、リモートの攻撃者が細工されたHTMLページを介して権限昇格を実行できる可能性がありました。
Windows上のGoogle ChromeのChromotingにおいて、バージョン149.0.7827.155より前のバージョンに存在するUse after freeの脆弱性により、ローカル攻撃者が悪意のあるファイルを介してOSレベルの権限を昇格できる可能性がありました。Chromiumのセキュリティの重大度は高いです。
Google Chromeのバージョン149.0.7827.155以前のMediaにおける不適切な実装により、リモートの攻撃者が特殊に細工されたHTMLページを介してプロセスのメモリから潜在的に機密性の高い情報を取得できる可能性がありました。
Google Chromeのバージョン149.0.7827.155より前のDigital CredentialsにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してレンダラープロセスを侵害し、サンドボックスを脱出できる可能性がありました。
Android版Google Chromeの149.0.7827.155以前のバージョンにおいて、DownloadsのUse after freeの脆弱性により、リモート攻撃者が細工されたHTMLページを介してヒープ破損を引き起こす可能性がありました。
Google ChromeのInputコンポーネントにおいて信頼されていない入力の検証が不十分であったため、リモートの攻撃者が細工されたHTMLページを利用して同一生成元ポリシーを回避できる可能性がありました。これにより、レンダラープロセスが侵害されるおそれがあります。
Mac版Google Chromeのバージョン149.0.7827.155より前のSafe Browsingにおける競合状態により、レンダラープロセスが侵害される可能性がありました。リモート攻撃者は細工されたHTMLページを通じてサンドボックスを脱出することができます。
Google Chrome 149.0.7827.155 未満のバージョンのタブストリップにおける Use after free の脆弱性により、リモートの攻撃者が特定の UI ジェスチャをユーザーに実行させ、細工された HTML ページを介してヒープ破損を悪用できる可能性がありました。
Google Chromeのバージョン149.0.7827.155以前の拡張機能に不適切な実装があり、攻撃者が悪意のある拡張機能をインストールさせるようユーザーを騙すことで、巧妙に作成されたChrome拡張機能を介して同一オリジンポリシーを回避できるようになっていました。
脆弱性情報（JVN） よくある質問
脆弱性を製品名やベンダ名で検索できますか？
はい。製品・ベンダ・脆弱性タイプ（CWE）で全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順に表示します。
CVSS（深刻度）とは何ですか？
脆弱性の深刻さを0〜10で表す共通指標です。数値が大きいほど影響が大きく、緊急・重要・警告・注意などの区分で絞り込めます。
影響を受ける製品やベンダ企業は分かりますか？
各脆弱性の詳細ページで、影響を受ける製品・ベンダを確認できます。ベンダ名は法人検索と突き合わせて企業情報もたどれます。
情報の出典を教えてください。
JVN（IPA〔情報処理推進機構〕・JPCERT/CC 提供）の公開情報を収録しています。対応の要否は必ず各JVN詳細・公式情報でご確認ください。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全289,806件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。