脆弱性情報（JVN）検索・一覧

PRCの解析段階で、PRCエンティティインデックスに対する境界検証が不足しているため、その結果、エンティティ配列の範囲外読み取りが発生します。そのため、アプリケーションがクラッシュします。

PRCファイルヘッダの解析ロジックは、構築されたファイル構造記述情報を信頼し、基盤となる配列に要素が含まれていると仮定して読み取るため、範囲外読み取りが発生し、アプリケーションがクラッシュします。

入力ファイルは厳密に構造的に有効なPDF形式である必要はありません。代わりに、内容を確認した後、PDFに偽装された元のドキュメントがパーサーに送信されます。悪意のあるドキュメントは悪意のある外部実体を構築し、プロトコルを介してローカルパスを指示することで、ユーザーの権限範囲内で任意のローカルファイルにアクセスを可能にします。

NATS Serverは、クラウドおよびエッジネイティブメッセージングシステムであるNATS.ioの高性能サーバーです。バージョン2.14.3および2.12.12以前のバージョンでは、アカウントスコープの接続監視リクエストを送信できるクライアントが、ConnzのページネーションのOffsetおよびLimit値に内部算術演算でオーバーフローを引き起こす値を指定することで、応答ウィンドウが安全に制限される前にサーバーをクラッシュさせる可能性がありました。この問題はバージョン2.14.3および2.12.12で修正されています。

NATS Serverは、NATS.ioのための高性能なサーバであり、クラウドおよびエッジネイティブなメッセージングシステムです。バージョン2.14.3および2.12.12以前では、最初のクライアント操作がCONNECTでない場合に使用されるパーサーパスを介して、クライアントが設定されたno_auth_userとして登録される可能性がありました。これにより、通常の認証で適用されるallowed_connection_typesやproxy_requiredなどのユーザーレベルの接続制限を回避できてしまう問題が発生していました。この問題はバージョン2.14.3および2.12.12で修正されています。

n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン2.27.4および2.28.1より前のバージョンでは、AIエージェント機能において、MCPツールが任意のURLを指している場合に、認証情報に設定された許可されたHTTPリクエストドメインの制限を強制していませんでした。そのため、共有認証情報への使用のみアクセス権を持つメンバー権限のユーザーが、自分が管理する外部サーバーにその秘密情報を送信できてしまう問題がありました。この問題はバージョン2.27.4および2.28.1で修正されています。

n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン2.27.4以前および2.28.0から2.28.1以前の間において、複数の信頼されたトークン交換発行者が設定されたn8nインスタンスは、JWTのsubクレームのみを使用して外部のアイデンティティをローカルアカウントに解決し、issクレームを無視していました。その結果、攻撃者は1つの信頼された発行者から有効なトークンを取得し、別の発行者のもとで被害者と一致するsubを持つ場合に、その被害者として認証できてしまいました。この問題はバージョン2.27.4および2.28.1で修正されています。

Open WebUIは拡張性が高く、多機能でユーザーフレンドリーなセルフホスティング型のAIプラットフォームです。バージョン0.8.12から0.10.0未満において、認証済みの管理者でないユーザーがarenaラッパーモデルへの読み取りアクセス権を持つ場合、/api/v1/tasks/moa/completionsなどのタスクエンドポイントを介して制限された基盤モデルにアクセスできてしまう問題がありました。通常のチャットルートでは最終チャットのディスパッチ前にarenaモデルを解決し、選択された基盤モデルの再チェックを行いますが、タスクルートではutils.chat.generate_chat_completion()を直接呼び出します。この直接経路では、ラッパーへのアクセスチェック後にarenaフォールバックの解決が行われ、その後bypass_filter=Trueで再帰処理が実行されるため、選択されたサブモデルのアクセスチェックがスキップされてしまいます。この問題はバージョン0.10.0で修正されました。

Open WebUIは拡張可能で機能豊富かつユーザーフレンドリーなセルフホスト型AIプラットフォームです。バージョン0.9.0から0.10.0未満までの間において、execute_automationは自動化の所有者がまだアクティブで機能を保持しているかどうかを再確認せずに自動化を再構築していました。また、check_model_accessは正確なユーザーロールに対するプライベートモデルの権限のみを強制しており、非アクティブ化された保留中のユーザーが予定されたモデル実行を継続できる状態になっていました。この問題はバージョン0.10.0で修正されました。

Open WebUIは、拡張可能で機能が豊富かつユーザーフレンドリーなセルフホスト型AIプラットフォームです。バージョン0.8.11から0.10.0未満の間、POST /api/v1/images/editは認証済みアカウントのみを要求していましたが、グローバルな画像編集スイッチやユーザーごとの画像生成権限を強制しなかったため、管理者が設定したプロバイダーの資格情報を用いて、管理者でないユーザーでもサーバー側の画像編集を呼び出すことが可能でした。この問題はバージョン0.10.0で修正されています。

2026年5月28日以前のOpenClawには、作業スペースのdotenvファイルがプロバイダーの資格情報を上書きしてしまう資格情報漏洩の脆弱性があります。設定された入力パスに対して低権限でアクセスできる攻撃者は、信頼された境界内に留めておくべき機密データや資格情報を露呈させてしまう可能性があります。

Open WebUIは拡張性が高く、多機能でユーザーフレンドリーなセルフホスト型AIプラットフォームです。バージョン0.6.16から0.10.0未満の間、Socket.IOサーバーはalways_connect=Trueで設定されていました。ydoc:awareness:updateおよびydoc:document:leaveのSocket.IOハンドラーは、認証されたユーザーを必要とせずにコラボレーションドキュメントイベントを受け入れており、不正にドキュメントコラボレーション状態を操作できる状態にありました。この問題はバージョン0.10.0で修正されています。

Mistuneは、レンダラーとプラグインを備えたPythonのMarkdownパーサーです。バージョン3.3.0以前のHTMLRenderer.safe_url()は、パーセントエンコードされたjavascript URIをブロックしないため、攻撃者が提供したMarkdownのリンクや画像がURL保護を回避し、レンダリングされたHTML内でスクリプトを実行するおそれがあります。この問題はバージョン3.3.0で修正されています。

Mistuneはレンダラーとプラグインを備えたPythonのMarkdownパーサーです。バージョン3.3.0より前のInclude.parse()は、ユーザー提供のインクルードパスを結合および正規化していましたが、その結果が意図したMarkdownディレクトリ内にとどまっているかどうかを検証していませんでした。このため、md.read()を使用してMarkdownファイルを処理する際に、細工されたインクルードパスによりそのディレクトリ外のファイルへアクセスされる可能性がありました。この問題はバージョン3.3.0で修正されています。

Mistune はレンダラーとプラグインを備えた Python の Markdown パーサーです。バージョン 3.2.1 より前の src/mistune/directives/admonition.py 内の render_admonition() 関数は、Admonition ディレクティブの :class: オプションをエスケープせずに HTML の class 属性に連結していました。これにより、HTMLRenderer のエスケープモードが有効な場合でも属性インジェクションおよびクロスサイトスクリプティングが可能となっていました。この問題はバージョン 3.2.1 で修正されています。

Mistuneは、レンダラーとプラグインを備えたPythonのMarkdownパーサーです。バージョン3.3.0以前では、src/mistune/directives/include.py内のIncludeディレクティブが直接の自己インクルードのみを検出し、間接的なサイクルを検出しなかったため、互いにインクルードし合う2つのMarkdownファイルが無限再帰を引き起こし、RecursionErrorが発生してレンダリングリクエストがクラッシュする可能性がありました。この問題はバージョン3.3.0で修正されました。

Mistuneは、レンダラーとプラグインを備えたPythonのMarkdownパーサーです。3.3.0以前のバージョンでは、src/mistune/renderers/html.py内のsafe_urlフィルターがjavascript:、vbscript:、file:、およびdata:のスキームのみをブロックしており、feed:、view-source:、jar:、livescript:、mocha:、ms-its:、mk:、およびres:などのレガシーまたは連鎖スキームがレンダリングされたhrefおよびsrc属性に到達しました。その結果、影響を受けるユーザーエージェントでスクリプトが実行される可能性がありました。この問題はバージョン3.3.0で修正されています。

Mistuneはレンダラーとプラグインを備えたPythonのMarkdownパーサーです。バージョン3.3.0以前では、tocプラグインおよびTableOfContentsディレクティブが見出しテキストをスラグ化せずに、予測可能なtoc_Nという値で見出しIDを生成していました。これにより、攻撃者が制御するid="toc_N"のコンテンツが生成されたアンカーと衝突し、同じページ内のナビゲーションやCSSセレクター、またはJavaScriptハンドラーをリダイレクトさせる可能性がありました。この問題はバージョン3.3.0で修正されています。

pypdfは無料でオープンソースの純粋なPython製PDFライブラリです。バージョン6.14.0以前では、攻撃者が実際のデータよりもはるかに大きな宣言された画像サイズの値を持つPDFを作成することにより、pypdfの画像解析時に大きなメモリ使用量を引き起こす可能性がありました。この問題はバージョン6.14.0で修正されました。

OpenSSH 10.4より前のsftpでは、攻撃者が制御するサーバーと「sftp server:/path .」を使用した場合、ダウンロードされたファイルの保存場所を適切に制限できない問題があります。

OpenSSH 10.4未満のscpでは、コピーが2つのリモート先間で行われる場合に、意図したディレクトリの親ディレクトリにファイルが配置される可能性があります。

OpenSSH 10.4より前のsshd内のinternal-sftpは、最初の9つのコマンドライン引数のみを認識します。これは、後のコマンドライン引数がSFTP接続の意図したセキュリティ特性を確保するのに役立つ場合があり、重要です。

OpenSSH 10.4より前のバージョンのsshdには、文書化されていないセキュリティ関連の挙動があります。具体的には、サーバーがWindows Active Directoryに属している場合、GSSAPIStrictAcceptorCheckが無効になる仕様です。

OpenSSH 10.4より前のバージョンのsshdは、最小認証遅延を常に適用しない可能性があります。

GitLabは、GitLab EEのバージョン13.11から18.11.7未満、19.0から19.0.4未満、および19.1から19.1.2未満のすべてのバージョンに影響する問題を修正しました。この問題は、特定の条件下で開発者権限を持つ認証済みユーザーが、不適切なユーザー入力のサニタイズにより他のユーザーのブラウザセッションで任意のスクリプトを実行できる可能性があるというものでした。

GitLabは、GitLab CE/EEのバージョン9.1から18.11.7未満、19.0から19.0.4未満、19.1から19.1.2未満に影響する問題を修正しました。この問題では、特定の条件下で認証されていないユーザーが、クロスプロジェクト参照ページの不適切な認可制御によりプライベートプロジェクトの存在を特定できる可能性がありました。

認証された管理者は、管理コンソールのオープンソースLLM設定機能を通じて悪意のあるファイルをアップロードすることで、ホストシステム上で任意のコードを実行する可能性があります。この脆弱性は、FileMaker Server 26.0.1で修正されました。

ZeepはPythonのSOAPクライアントです。バージョン4.0.0から4.3.3未満の間、Settings.forbid_externalは定義されていたものの、WSDLやXSDドキュメントのパース時に適用されておらず、その結果としてxsd:import、xsd:include、wsdl:import、およびlxmlのエンティティやDTD参照を介して攻撃者が選択したHTTPまたはHTTPSのURLを取得されてしまう可能性がありました。この問題はバージョン4.3.3で修正されています。

Progress MOVEit Transfer（Ad Hocモジュール）において、ウェブページ生成時の入力の不適切な無害化によりクロスサイトスクリプティングの脆弱性が存在します。この問題はMOVEit Transferの以下のバージョンに影響を与えます：2026.0.0から2026.0.1未満、2025.1.0から2025.1.4未満、および2025.0.0から2025.0.8未満です。

Red Hat OpenShift AIのコンポーネントである`guardrails-detectors`に脆弱性が発見されました。この脆弱性は正規表現のサービス拒否（ReDoS）攻撃として知られており、リモートの攻撃者が特別に細工された正規表現を公開検出APIに提供できる問題です。これにより壊滅的なバックトラッキングが発生し、ワーカープロセスがCPUを100%無限に消費し続けるため、guardrailsが仲介するLLMパイプライン全体にサービス拒否を引き起こす可能性があります。

ciscodump のバージョン 4.6.0 から 4.6.6 まで、および 4.4.0 から 4.4.16 までにクラッシュが発生し、サービス拒否（DoS）攻撃を引き起こします。

Wireshark 4.6.0 から 4.6.6 の TLS ECH 復号処理におけるクラッシュは、DoS（サービス拒否）を引き起こす可能性があります。

DiagramタブおよびGraphビューにおいて、共有されている入力検証関数が十分に制限されていないため、Stored HTML Injectionの脆弱性が発見されました。管理者権限を持つ認証済みユーザーは、複数の入力ベクトルを通じてN2OSの構成データに悪意のあるHTMLタグを注入することが可能です。被害者がDiagramタブやGraphビューで影響を受けたデータを閲覧すると、注入されたHTMLがブラウザ上でレンダリングされ、フィッシングや場合によってはオープンリダイレクト攻撃が可能になります。既存の入力検証およびContent Security Policyの設定により、完全なXSSの悪用や直接的な情報漏洩は防止されています。

SSHキー同期エンドポイントに認証が欠如している脆弱性が発見されました。認証されていない攻撃者がSSHキー同期エンドポイントにリクエストを送信することで、公開SSHキーをアップロードしたユーザーの一覧やそのユーザーのグループ、さらにアップロードされた公開SSHキーを取得することが可能です。

Snipe-ITはIT資産およびライセンス管理を行うシステムです。バージョン8.6.1より前のバージョンでは、GET /api/v1/{object}/selectlist APIエンドポイントに認可チェックが存在していませんでした。Snipe-ITにログインできるユーザーであれば、権限に関係なくウェブセッションのクッキーだけで、全ユーザーアカウントのページネーションされたリストを取得できます。APIトークンや特別な権限は不要です。FMCSが無効の場合、システム内のすべてのアクティブアカウントのユーザー名、表示名、社員番号、ユーザーIDが公開されます。FMCSが有効な場合は、そのユーザーが所属する会社内の情報が公開されます。これらの問題はバージョン8.6.1で修正されています。

Snipe-ITはIT資産およびライセンス管理システムです。バージョン8.6.2以前では、CommonMarkは生のHTMLをエスケープしますが、Markdownのハイパーリンク内のjavascript: URIをサニタイズしませんでした。そのため、assets.edit権限を持つユーザーがマークダウンテキストエリアのカスタムフィールドに悪意のあるリンクを配置し、別のユーザーが資産詳細ページを開いてリンクをクリックすると、任意のJavaScriptが実行される可能性がありました。この問題はバージョン8.6.2で修正されています。

Snipe-ITはIT資産およびライセンス管理システムです。バージョン8.6.2以前では、フルマルチカンパニーサポートとscope_locations_fmcsが有効になっている場合、APIのロケーション作成エンドポイントは無効な親子会社の不一致を検出しますが、直ちに処理を停止せず、異なる会社の親ロケーションの下に子ロケーションを作成できてしまう問題がありました。この問題はバージョン8.6.2で修正されました。

Snipe-ITはIT資産およびライセンス管理を行うシステムです。バージョン8.5.0より前のActionlogController::displaySigは、ルートのファイル名パラメータをサニタイズせずにプライベートなアップロードディレクトリのパスに連結していました。そのため、認証済みの攻撃者が意図されたディレクトリの外にディレクトリトラバーサルを行い、ウェブサーバープロセスがアクセス可能な任意のファイルを読み取ることが可能でした。この問題はバージョン8.5.0で修正されています。

Snipe-ITはIT資産およびライセンス管理の管理システムです。バージョン8.6.0より前では、POST /account/request/{itemType}/{itemId}/{cancel_by_admin?}/{requestingUser?}がcancel_by_adminをURLパスセグメントとして十分な認証なしに受け入れていました。これにより、認証されたユーザーが被害者のユーザーIDを指定して、そのユーザーの保留中の資産リクエストをユーザーに通知されることなく静かにキャンセルできる状態でした。この問題はバージョン8.6.0で修正されています。

Snipe-ITはIT資産およびライセンス管理システムです。バージョン8.6.2以前では、POST /api/v1/kits/{kit_id}/licensesエンドポイントは呼び出し元がキットを編集できるかどうかを確認しますが、参照されているライセンスオブジェクトへのアクセス権を認証していませんでした。そのため、あらかじめ定義されたキット権限を持つ低権限ユーザーが、本来アクセスまたは管理できないライセンスをキットに結びつけることが可能でした。この問題はバージョン8.6.2で修正されています。