脆弱性情報（JVN）検索・一覧

CWE-78に関連する問題として、OSコマンドで使用される特殊な要素が適切に無効化されていない点が、linagora Twake v2023.Q1.1223で発見されました。

D-Link DIR-513 v1.10のgoform/formSetWizardSelectModeにあるcurTimeパラメータを介して発生するスタックバッファオーバーフローの脆弱性です。

Budibaseは、内部ツール、ワークフロー、および管理パネルを作成するためのローコードプラットフォームです。バージョン3.24.0およびそれ以前には、ファイル拡張子の制限が設定されているにもかかわらず、任意のファイルをアップロードできる脆弱性が存在します。この制限はUIレベルでのみ適用されているため、攻撃者はこれらの制限を回避し、悪意のあるファイルをアップロードする可能性があります。

Microsoft Office SharePoint のWebページ生成時における入力の不適切な無害化（クロスサイトスクリプティング）により、認証されていない攻撃者がネットワーク上でなりすましを行うことが可能になります。

GL-iNet GL-AR300M16 v4.3.11には、enable_echo_server関数のstring portパラメータを介したコマンドインジェクションの脆弱性が発見されました。この脆弱性により、攻撃者は細工された入力を通じて任意のコマンドを実行することが可能です。

GL-iNet GL-AR300M16 v4.3.11には、set_upgrade関数のmodem_url、target_version、current_version、firmware_upload、hash_type、hash_value、およびupgrade_typeパラメータを通じた複数のコマンドインジェクションの脆弱性が存在します。これらの脆弱性により、攻撃者は細工された入力を介して任意のコマンドを実行できます。

GL-iNet GL-AR300M16 v4.3.11には、set_config関数を介したコマンドインジェクションの脆弱性が存在することが判明しています。この脆弱性により、攻撃者は細工された入力を通じて任意のコマンドを実行できます。

GL-iNet GL-AR300M16 v4.3.11には、M.get_system_log関数のmoduleパラメータを介してコマンドインジェクションの脆弱性が存在することが発見されました。この脆弱性により、攻撃者は細工された入力を通じて任意のコマンドを実行できます。

Rocket.Chatはオープンソースで安全かつ完全にカスタマイズ可能なコミュニケーションプラットフォームです。バージョン7.10.8、7.11.5、7.12.5、7.13.4、8.0.2、8.1.1、8.2.0より前のバージョンには、Rocket.ChatのエンタープライズDDPストリーマーサービスに認証の脆弱性が存在していました。DDPストリーマーを通じて公開されるAccount.loginメソッドは、二要素認証（2FA）を強制せず、ユーザーのアカウント状態（非アクティブユーザーでもログイン可能）を検証していませんでした。標準のMeteorログインフローではこれらのチェックが必須ですが、この問題のために適用されていませんでした。この問題はバージョン7.10.8、7.11.5、7.12.5、7.13.4、8.0.2、8.1.1、8.2.0で修正されています。

Appsmithは管理パネル、内部ツール、ダッシュボードを構築するためのプラットフォームです。バージョン1.96以前のTable Widget（TableWidgetV2）には重大なストアドXSS脆弱性が存在していました。根本的な原因は、ReactコンポーネントのレンダリングパイプラインにおけるHTMLサニタイズの不足であり、これにより悪意のある属性がDOMに挿入される可能性がありました。"Invite Users"機能を悪用することで、通常のユーザーアカウント（user@gmail.com）を持つ攻撃者がシステム管理者に高権限APIコール（/api/v1/admin/env）を実行させ、完全な管理者アカウントを乗っ取ることが可能でした。この脆弱性はバージョン1.96で修正されています。

SiYuanはパーソナルナレッジマネジメントシステムです。バージョン3.5.10より前のものには、/exportエンドポイントにパストラバーサルの脆弱性が存在し、攻撃者がサーバーファイルシステム上の任意のファイルを読み取ることができます。二重エンコードされたトラバーサルシーケンスを悪用することで、攻撃者はconf/conf.jsonなどの機密ファイルにアクセスでき、そこにはAPIトークン、クッキー署名キー、ワークスペースアクセス認証コードなどの秘密情報が含まれています。これらの秘密情報が漏洩することで、SiYuanカーネルAPIへの管理者アクセスを得ることができ、特定の展開シナリオではリモートコード実行（RCE）につなげる可能性があります。この脆弱性はバージョン3.5.10で修正されました。

Budibaseは、内部ツール、ワークフロー、および管理パネルを作成するためのローコードプラットフォームです。バージョン3.31.4以前のBudibaseサーバーでは、すべてのサーバーサイドAPIエンドポイントを保護するauthorized()ミドルウェアが、任意のリクエストのクエリ文字列にWebhookパスパターンを追加することで完全にバイパスされる可能性があります。isWebhookEndpoint()関数は、ctx.request.url（Koaではクエリパラメータを含む完全なURL）に対してアンカーされていない正規表現を使用しています。この正規表現がマッチすると、authorized()ミドルウェアは直ちにnext()を呼び出し、認証、認可、ロールチェック、およびCSRF保護のすべてをスキップします。つまり、完全に認証されていないリモートの攻撃者がURLに?/webhooks/trigger（または任意のWebhookパターンのバリアント）を単純に追加するだけで、任意のサーバーサイドAPIエンドポイントにアクセスできてしまいます。

Parse ServerはNode.jsを実行できる任意のインフラストラクチャにデプロイ可能なオープンソースのバックエンドです。9.6.0-alpha.2および8.6.28以前のバージョンでは、攻撃者がドット表記のフィールド名とsortクエリパラメータを組み合わせることで、ドット表記クエリ内のサブフィールド値の不適切なエスケープを悪用し、PostgreSQLデータベースにSQLインジェクションを実行できる可能性があります。この脆弱性は、distinctおよびwhereクエリパラメータでドット表記のフィールド名を使用するクエリにも影響を及ぼす場合があります。この脆弱性はPostgreSQLデータベースを使用しているデプロイメントのみに影響します。この問題は9.6.0-alpha.2および8.6.28で修正されています。

Parse Serverは、Node.jsを実行できる任意のインフラストラクチャにデプロイ可能なオープンソースのバックエンドです。PostgreSQLストレージアダプターにおいて、ドット表記（例：stats.counter）を使用したネストされたオブジェクトフィールドのインクリメント操作を処理する際にSQLインジェクションの脆弱性が存在します。amount値はパラメータ化や型検証なしに直接SQLクエリに埋め込まれます。Parse Server REST APIに書き込みリクエストを送信できる攻撃者は、任意のSQLサブクエリを注入してCLPやACLを回避し、データベースの任意のデータを読み取ることが可能です。MongoDBの展開には影響しません。この脆弱性は9.6.0-alpha.3および8.6.29で修正されています。

Parse ServerはNode.jsを実行できる任意のインフラストラクチャにデプロイ可能なオープンソースのバックエンドです。バージョン9.6.0-alpha.5および8.6.31より前のバージョンには、ドット表記（例：stats.counter）を使用してネストされたオブジェクトフィールドのIncrement操作を処理する際に、PostgreSQLストレージアダプターにSQLインジェクションの脆弱性が存在します。サブキー名がエスケープ処理されずに直接SQL文字列リテラルに埋め込まれるため、Parse ServerのREST APIに書き込みリクエストを送信できる攻撃者は、シングルクォートを含む細工されたサブキー名を介して任意のSQLを注入し、コマンドを実行したりデータベースからデータを読み取ったりし、CLPやACLを回避する可能性があります。この脆弱性はPostgresの展開にのみ影響し、9.6.0-alpha.5および8.6.31で修正されています。

FrappeはフルスタックのWebアプリケーションフレームワークです。15.84.0および14.99.0以前のバージョンにおいて、特定のエンドポイントに対して特別に細工されたリクエストを送信することでSQLインジェクションが発生し、攻撃者が通常は取得できない情報を抽出できる可能性がありました。この脆弱性は15.84.0および14.99.0で修正されています。

WeGIAは慈善機関向けのウェブマネージャーです。バージョン3.6.6より前のWeGIAアプリケーションには重大なSQLインジェクションの脆弱性が存在します。remover_produto_ocultar.phpスクリプトはextract($_REQUEST)を使用してローカル変数を設定し、これらの変数をPDO::queryで実行されるSQLクエリに直接連結しています。これにより、認証済みまたは認証回避された攻撃者が任意のSQLコマンドを実行できます。この脆弱性は、データベースから機密データを流出させたり、本PoCで示されているように時間ベースの遅延（サービス拒否）を引き起こしたりするために利用されます。この脆弱性はバージョン3.6.6で修正されました。

OpenEMRは無料かつオープンソースの電子健康記録および医療業務管理アプリケーションです。バージョン8.0.0.1以前では、グラフィカルペインマップ（"clickmap"）フォームに保存されたクロスサイトスクリプティング（XSS）脆弱性により、認証された任意の臨床医が任意のJavaScriptを注入でき、そのJavaScriptは影響を受けたカルテフォームを閲覧するすべての後続ユーザーのブラウザで実行されます。セッションCookieがHttpOnlyとしてマークされていないため、これにより管理者を含む他のユーザーのセッションを完全に乗っ取ることが可能となります。この脆弱性はバージョン8.0.0.1で修正されました。

2FAuthは、二要素認証（2FA）アカウントを管理し、そのセキュリティコードを生成するウェブアプリケーションです。バージョン6.1.0以前には、認証済みユーザーがサーバーから内部ネットワークおよびクラウドメタデータエンドポイントへ任意のHTTPリクエストを送信できるブラインドSSRFの脆弱性が存在していました。OTP URLのimageパラメータでは、HTTPリクエストを行う前に内部およびプライベートIPアドレスの検証が適切に行われていませんでした。以前の修正では有効な画像のみを保存するためのレスポンス検証が追加されましたが、この検証が行われる前に任意のURLへのHTTPリクエストが依然として実行されていました。この脆弱性はバージョン6.1.0で修正されました。

AdGuard Homeは広告やトラッキングをネットワーク全体でブロックするソフトウェアです。バージョン0.107.73以前では、認証されていないリモート攻撃者がHTTP/2クリアテキスト（h2c）へのアップグレードを要求するHTTP/1.1リクエストを送信することで、AdGuard Homeのすべての認証を回避できます。アップグレードが受け入れられると、生成されたHTTP/2接続は認証ミドルウェアが付加されていない内部のマルチプレクサーによって処理されます。その接続上のすべての後続のHTTP/2リクエストは、認証情報が提供されているかどうかにかかわらず完全に認証済みとして処理されます。この脆弱性はバージョン0.107.73で修正されています。

Parse ServerはNode.jsを実行可能な任意のインフラストラクチャに展開できるオープンソースのバックエンドです。9.6.0-alpha.12および8.6.38以前のバージョンでは、認証プロバイダーがユーザー識別子の形式を検証しない場合（例：匿名認証）、認証されていない攻撃者が任意のユーザーアカウントを乗っ取る可能性があります。細工されたログインリクエストを送信することで、攻撃者はサーバーに厳密一致の検索ではなくパターンマッチングクエリを実行させ、既存のユーザーと一致させてそのユーザーの有効なセッショントークンを取得できます。MongoDBおよびPostgreSQLのデータベースバックエンドの両方が影響を受けます。匿名認証を許可しているParse Serverの展開（デフォルトで有効）はすべて脆弱です。この脆弱性は9.6.0-alpha.12および8.6.38で修正されています。

Google Chromeのバージョン146.0.7680.71以前のWeb Speechにおいて境界外読み取りの脆弱性が存在し、リモートの攻撃者が細工されたHTMLページを通じてサンドボックスを脱出できる可能性がありました。

Miazzy oa-front-serviceのマスターにおいて、CWE-829：信頼されていない制御領域から機能を組み込む問題が発見されました。

MCPJam inspectorはMCPサーバーのローカルファースト開発プラットフォームです。バージョン1.4.2およびそれ以前にはリモートコード実行（RCE）脆弱性が存在しました。攻撃者は細工されたHTTPリクエストを送信することでMCPサーバーの乗っ取りを引き起こし、その結果RCEが発生します。MCPJam inspectorはデフォルトで127.0.0.1ではなく0.0.0.0で待機しているため、攻撃者はシンプルなHTTPリクエストを介してリモートからRCEを実行できます。バージョン1.4.3でこの問題は修正されました。

不適切な認証により機密データが漏洩および改ざんされる脆弱性です。影響を受ける製品は、Acronis Cyber Protect 16（Linux、Windows）ビルド39938以前と、Acronis Cyber Protect 15（Linux、Windows）ビルド41800以前です。

不適切な認証により、機密データが漏洩および改ざんされる可能性があります。影響を受ける製品は以下の通りです：Acronis Cyber Protect 16（Linux、Windows）ビルド39938以前、およびAcronis Cyber Protect 15（Linux、Windows）ビルド41800以前です。

認可の欠如により機密データの漏洩および操作が発生します。影響を受ける製品は次のとおりです。Acronis Cyber Protect 16（Linux、Windows）ビルド39938以前およびAcronis Cyber Protect 15（Linux、Windows）ビルド41800以前が影響を受けます。

node.jsアプリケーションでgitコマンドを実行するためのインターフェースである「simple-git」に、バージョン3.15.0から3.32.2までの間に問題が存在します。この問題により、攻撃者は以前の複数の修正を回避して、ホストマシン上で完全なリモートコード実行を達成できます。バージョン3.23.0には、この脆弱性に対する更新された修正が含まれています。

不適切な認証により、機密情報が漏洩したり操作が行われたりする可能性があります。影響を受ける製品は、Acronis Cyber Protect 17（Linux、Windows）ビルド41186以前です。

thesystem 1.0 には、認証されていない攻撃者が run_command エンドポイントに悪意のある入力を送信することで任意のシステムコマンドを実行できるコマンドインジェクションの脆弱性があります。攻撃者は command パラメータにシェルコマンドを含む POST リクエストを送信することで、認証なしにサーバー上で任意のコードを実行できます。

Online-Exam-System 2015には、フィードバックモジュールにSQLインジェクションの脆弱性が存在し、攻撃者は'fid'パラメータを通じてデータベースクエリを操作可能です。攻撃者は'fid'パラメータに悪意のあるSQLコードを注入して、データベース情報を抽出、変更、または削除できます。

適切に保護されていないファイル管理機能のため、認証されていないユーザーが危険なデータタイプをアップロードでき、リモートコードが実行される可能性があります。

DevToysは開発者向けのデスクトップアプリケーションです。バージョン2.0.0.0から2.0.9.0未満の間に、DevToysの拡張機能インストール機構にパストラバーサルの脆弱性が存在していました。拡張機能パッケージ（NUPKGアーカイブ）を処理する際、DevToysはアーカイブ内のファイルパスを十分に検証していませんでした。悪意のある拡張機能パッケージは、../../…/target-fileのような細工されたファイルエントリを含めることができ、それにより展開処理が拡張機能用ディレクトリの外部にファイルを書き込んでしまいます。この欠陥により、攻撃者はDevToysプロセスの権限で任意のファイルを上書きすることが可能でした。環境によっては、これによってコードの実行や設定の改ざん、アプリケーションやシステムファイルの破損が発生する可能性があります。この問題はバージョン2.0.9.0で修正されています。

XikeStor SKS8310-8X ネットワークスイッチのファームウェアバージョン1.04.B07およびそれ以前のバージョンには、/goform/PingTestSet エンドポイントにOSコマンドインジェクションの脆弱性が存在します。この脆弱性により、認証されていないリモート攻撃者が任意のオペレーティングシステムコマンドを実行できます。攻撃者は destIp パラメータを通じて悪意のあるコマンドを注入し、ネットワークスイッチ上でルート権限によるリモートコード実行を達成できます。

XikeStor SKS8310-8X ネットワークスイッチのファームウェアバージョン1.04.B07およびそれ以前には、/goform/SetLogin エンドポイントに予測可能なセッション識別子の脆弱性が存在し、リモートの攻撃者が認証済みセッションを乗っ取る可能性があります。攻撃者は、十分にランダムでないクッキー値を利用してセッション識別子を予測し、URL内に露出したセッションパラメータを悪用することで認証ユーザーのセッションに不正にアクセスできます。

PingoraのHTTP/1.1接続アップグレード処理にHTTPリクエストスマグリングの脆弱性（CWE-444）が発見されました。この問題は、PingoraプロキシがUpgradeヘッダーを含むリクエストを読み取る際に発生し、バックエンドがアップグレードを受け入れる前に接続上の残りのバイトをバックエンドに透過的に渡してしまうことが原因です。これにより、攻撃者はUpgradeヘッダー付きリクエストの後に悪意のあるペイロードを直接バックエンドに転送し、それが後続のリクエストヘッダーとして解釈される可能性があり、プロキシレベルのセキュリティ制御を回避してクロスユーザーセッションのハイジャックを可能にします。影響として、この脆弱性は主に外部トラフィックにさらされた単独のPingoraプロキシ展開に影響を及ぼします。攻撃者はこれを悪用して、* プロキシレベルのACL制御およびWAFロジックを回避し、* キャッシュおよび上流接続を汚染して正規ユーザーの後続リクエストがスマグリングされたリクエスト向けのレスポンスを受け取るようにし、* 信頼されたプロキシIPから発信されたように見えるリクエストのスマグリングやセッションハイジャックによるクロスユーザー攻撃を実行します。CloudflareのCDNインフラはこの脆弱性の影響を受けませんでした。CDNスタック内のイングレスプロキシは適切なHTTPパース境界を維持し、アップグレード接続の転送モードに早期に切り替えています。緩和策として、PingoraユーザーはPingora v0.8.0以上にアップグレードすべきです。ワークアラウンドとしては、アップグレードヘッダーを含むリクエストを検出した場合にリクエストフィルターでエラーを返し、リクエストヘッダー以降のバイト処理を停止し、下流接続の再利用を無効化することを推奨します。

PingoraのHTTP/1.0およびTransfer-Encodingリクエストの解析において、HTTPリクエストスミuggling脆弱性（CWE-444）が発見されました。この問題は、HTTP/1.0リクエストボディが不適切にクローズデリミテッドとして許可され、複数のTransfer-Encoding値が誤って処理されるために発生し、攻撃者がPingoraのリクエストフレーミングをバックエンドサーバーと同期しないHTTP/1.0リクエストを送信可能にします。影響範囲として、本脆弱性は主にHTTP/1.0リクエストを受け入れる特定のバックエンドの前に単独で配置されたPingoraに影響します。攻撃者は、このリクエストに続く悪意あるペイロードを作成し、Pingoraがバックエンドに転送することで、以下の行為を実行する可能性があります。* プロキシレベルのACL制御およびWAFロジックを回避する* キャッシュおよびアップストリーム接続を汚染し、正当なユーザーからの後続リクエストがスミugglingされたリクエストに意図されたレスポンスを受け取るようにする* セッションをハイジャックしたり、信頼されたプロキシIPから発信されたように見えるリクエストをスミugglingしてクロスユーザー攻撃を実行するCloudflareのCDNインフラストラクチャは、この脆弱性の影響を受けませんでした。なぜなら、イングレスプロキシ層がHTTP/1.1リクエストのみを転送し、不明確なフレーミング（無効なContent-Length値など）を拒否し、チャンクドリクエストに対して単一のTransfer-Encoding: chunkedヘッダーのみを転送していたからです。緩和策として、Pingoraユーザーは、本問題を修正し、RFC 9112に従ったメッセージ長ヘッダーの正しい解析およびHTTPリクエストボディが決してクローズデリミテッドされないことを含むより厳密なRFCガイドラインへの準拠を実現したPingora v0.8.0以上にアップグレードすべきです。回避策として、ユーザーはリクエストフィルタロジック内で特定のリクエストをエラーとして拒否し、接続上のバイト処理を停止して下流の接続再利用を無効にできます。具体的には、HTTP/1.1以外のリクエスト、無効なContent-Lengthを持つリクエスト、複数のTransfer-Encodingヘッダーを持つリクエスト、または正確に「chunked」という文字列と一致しないTransfer-Encodingヘッダーを持つリクエストを拒否すべきです。

OneUptimeはオンラインサービスの監視と管理のためのソリューションです。バージョン10.0.18より前のOneUptimeでは、プロジェクトメンバーがSynthetic Monitorsを通じてカスタムのPlaywright/JavaScriptコードを実行し、ウェブサイトをテストできました。しかし、このシステムは信頼されていないユーザーコードをNode.jsの安全でないvmモジュール内で実行しています。標準的なプロトタイプチェーンのエスケープ手法（this.constructor.constructor）を利用することで、攻撃者はサンドボックスを回避し、基盤となるNode.jsのprocessオブジェクトにアクセスして、oneuptime-probeコンテナ上で任意のシステムコマンド（リモートコード実行：RCE）を実行できます。さらに、プローブは環境変数にデータベースやクラスターの認証情報を保持しているため、この脆弱性を利用するとクラスター全体を完全に侵害できます。この脆弱性はバージョン10.0.18で修正されました。

OneUptimeは、オンラインサービスの監視および管理のためのソリューションです。バージョン10.0.20以前のOneUptime Synthetic Monitorsにおいては、権限の低いプロジェクトユーザーがカスタムPlaywrightコードを送信でき、そのコードがoneuptime-probeサービス上で実行されていました。現在の実装では、この信頼されていないコードがNodeのvm内で実行され、ブラウザやページなどのライブホストのPlaywrightオブジェクトが渡されます。これにより特有のサーバーサイドRCE（リモートコード実行）のリスクが発生します。攻撃者は従来のthis.constructor.constructor(...)によるサンドボックス脱出を必要とせず、直接注入されたPlaywrightのブラウザオブジェクトを使用してbrowser.browserType().launch(...)を呼び出し、プローブホストまたはコンテナ上で任意の実行ファイルを起動できました。この脆弱性はバージョン10.0.20で修正されています。

OneUptimeはオンラインサービスの監視および管理のためのソリューションです。バージョン10.0.20以前のOneUptimeでは、低権限ユーザーが偽造したis-multi-tenant-queryヘッダーと制御されたprojectidヘッダーを送信することで、認証およびテナントの分離を回避できました。サーバーがこのクライアントから提供されたヘッダーを信頼するため、BasePermission内の内部権限チェックがスキップされ、テナントスコープが無効になりました。これにより攻撃者は他のテナントに属するプロジェクトデータにアクセスし、ネストされたリレーションを介して機微なユーザーフィールドを読み取り、平文のresetPasswordTokenを漏洩させ、被害者のパスワードをリセットしてアカウントを完全に乗っ取ることが可能になりました。この脆弱性により、テナント間でデータ漏洩およびアカウントの完全乗っ取りが発生します。この問題はバージョン10.0.21で修正されました。