脆弱性情報（JVN）検索・一覧

Roundcube Webmailのバージョン1.5.14および1.6.14より前のバージョンに問題が発見されました。未検証のIMAP SEARCHコマンドの引数により、メール検索時にIMAPインジェクションやCSRF攻撃を回避される可能性があります。

osrg GoBGP バージョン4.3.0までに脆弱性が確認されました。この脆弱性は pkg/packet/bgp/bgp.go ファイルの DecodeFromBytes 関数に影響を及ぼします。引数 data[1] の操作によりオフ・バイ・ワンの脆弱性が発生する可能性があります。この攻撃はリモートから実行される可能性があります。この種の攻撃は非常に複雑であり、悪用することは困難とされています。この問題を修正するパッチは67c059413470df64bc20801c46f64058e88f800fと呼ばれています。問題を解決するためにはパッチの適用を推奨します。

osrg GoBGP 4.3.0 までにセキュリティの脆弱性が検出されました。影響を受けるのは、コンポーネント BGP Header Handler のファイル pkg/packet/bgp/bgp.go にある関数 BGPHeader.DecodeFromBytes です。この操作によって不適切なアクセス制御が発生し、リモートから攻撃を実行される可能性があります。攻撃の複雑性は高いと評価されており、悪用の困難性も高いとされています。この問題を修正するためのパッチの識別子は f0f24a2a901cbf159260698211ab15c583ced131 です。本問題を解決するには、パッチの適用を推奨します。

Pega Platform バージョン 8.1.0 から 25.1.0 までのユーザーインターフェースコンポーネントにストアドクロスサイトスクリプティングの脆弱性が存在します。この脆弱性は管理者ユーザーであり、かつ広範なアクセス権が与えられた場合に影響し、機密性への影響は低く、完全性には影響しません。

メモリ処理の改善により、型混同の問題が対処されました。この問題はmacOS Sequoia 15.6、macOS Sonoma 14.7.7、macOS Ventura 13.7.7で修正されています。攻撃者は予期しないアプリケーションの終了を引き起こす可能性があります。

libsshに脆弱性が発見されました。この脆弱性により、設定ファイルの解析中に任意のファイルを開く可能性があります。ローカルの攻撃者は、悪意のある設定ファイルを提供したり、システムが誤って設定されている場合にこれを悪用したりすることができます。この脆弱性は、システムがブロックデバイスや大きなシステムファイルなどの危険なファイルにアクセスしようとすることで、サービス妨害（DoS）を引き起こし、通常の動作を妨げる可能性があります。

OpenClawの2026年3月11日以前のバージョンには、ローカルのgateway.auth.tokenおよびgateway.auth.passwordのSecretRefsが利用不可の場合に未設定とみなされ、ローカルモードでリモートの認証情報にフォールバックする資格情報フォールバックの脆弱性があります。攻撃者は誤って構成されたローカル認証参照を悪用し、CLIおよびヘルパーツールに誤った資格情報ソースを選択させることで、意図されたローカル認証の境界を回避する可能性があります。

go-gitは純粋なGoで書かれた拡張可能なGit実装ライブラリです。バージョン5.17.1より前のgo-gitでは、フォーマットバージョン4のインデックスデコーダが、以前にデコードされたパス名に適用する前にパス名のプレフィックス長を検証できませんでした。悪意のある細工が施されたインデックスファイルは、範囲外のスライス操作を引き起こし、通常のインデックス解析中にランタイムパニックを発生させる可能性があります。この問題はGitインデックスフォーマットのバージョン4のみに影響し、以前のフォーマット（go-gitはv2およびv3のみをサポートしています）はこの問題の影響を受けません。この問題はバージョン5.17.1で修正されました。

侵害された第三者のクラウドサーバーまたは中間者攻撃者が、形式の誤ったHTTPレスポンスを送信することで、MongoDB Cドライバーを使用しているアプリケーションがクラッシュする可能性があります。

Admidioはオープンソースのユーザー管理ソリューションです。バージョン5.0.8より前のバージョンでは、inventoryモジュールのitem_saveエンドポイントがユーザー制御可能なPOSTパラメータであるimportedを受け入れ、このパラメータがtrueに設定されている場合、CSRFトークンの検証とサーバー側のフォーム検証の両方を完全にバイパスしてしまいます。認証されたユーザーは、CSRF保護なしで任意の在庫アイテムデータを保存するための直接のPOSTリクエストを作成でき、通常FormPresenterの検証で強制されるフィールド値のチェックも回避できます。この問題はバージョン5.0.8で修正されました。

Keycloakに脆弱性が発見されました。リモートの攻撃者は、組織機能が有効になっている場合のアイデンティティファーストログインフロー中に表示される差分エラーメッセージを悪用できます。この脆弱性により、攻撃者はユーザーの存在を特定でき、その結果ユーザー列挙を通じて情報漏洩が発生する可能性があります。

Keycloakに脆弱性が発見されました。認証済みの攻撃者は、リフレッシュトークン要求時に`client_session_host`パラメータを操作することでサーバーサイドリクエスト偽造（SSRF）を実行できます。これは、Keycloakクライアントが`application.session.host`プレースホルダーを使用した`backchannel.logout.url`に設定されている場合に発生します。成功すると、攻撃者はKeycloakサーバーのネットワークコンテキストからHTTPリクエストを送信でき、内部ネットワークや内部APIを探索することが可能になり、情報漏えいにつながる可能性があります。

IBM Maximo Application Suite - Monitor コンポーネントのバージョン9.1、9.0、8.11、および8.10には、ログファイルに書き込まれる特殊文字を適切に無害化しない脆弱性が存在します。この問題により、認可されていないユーザーがログメッセージに悪意のあるデータを注入できる可能性があります。

HCL Sametime にはサーバー側の検証に不備がある脆弱性があります。アプリケーションはクライアント側で入力チェックを実施していますが、これらのチェックはウェブサーバー側で強制されていません。そのため、攻撃者は操作されたHTTPリクエストをサーバーに直接送信して、これらの制限を回避することが可能です。

Wazuh authdには、特別に細工された入力を送信することでメモリ破損および不正なヒープデータを引き起こすヒープバッファオーバーフローの脆弱性があります。攻撃者はこの脆弱性を悪用してサービス拒否(DoS)状態を引き起こし、その結果、認証デーモンの可用性が低下します。

IBM InfoSphere Information Server 11.7.0.0から11.7.1.6までのバージョンには、攻撃者がHTTP GETメソッドのクエリ文字列から機密情報を取得できる可能性があります。このリクエストは中間者攻撃手法を用いて取得される可能性があります。

NGINX PlusおよびNGINXオープンソースのngx_mail_smtp_moduleモジュールには、DNS応答のCRLFシーケンスの不適切な処理に起因する脆弱性があります。この脆弱性により、攻撃者が制御するDNSサーバーがSMTPアップストリームリクエストに任意のヘッダーを注入し、リクエストを操作できる可能性があります。なお、技術サポート終了（EoTS）に達したソフトウェアバージョンについては評価されていません。

wolfSSLのTLS 1.3クライアントHelloRetryRequestハンドシェイクロジックにおいて、必須の暗号手順が欠如しているため、改ざんされたHelloRetryRequestに続いて必須のkey_share拡張が省略されたServerHelloメッセージを介して、TLS保護通信の機密性が侵害される可能性があります。この結果、(EC)DHE共有秘密から予測可能なトラフィックシークレットが導出されます。この問題は、TLSハンドシェイク中のクライアントがサーバーを認証する機能には影響しません。

SuiteCRMはオープンソースの企業向け顧客関係管理（CRM）ソフトウェアアプリケーションです。バージョン7.15.1および8.9.3より前のバージョンには、Configuratorモジュールに認証されたユーザーによる任意のファイルアップロードの脆弱性が含まれていました。認証された管理者はPDFフォントファイルのアップロード時に意図されたファイルタイプの制限を回避でき、攻撃者が制御するファイル名の任意のファイルをサーバーに書き込むことができます。アップロードディレクトリはデフォルトで直接ウェブからアクセス可能ではありませんが、この動作はセキュリティの境界を破り、他の脆弱性と組み合わせたり特定の展開構成によってさらなる攻撃を可能にしたりします。バージョン7.15.1および8.9.3でこの問題は修正されています。

TraefikはHTTPリバースプロキシおよびロードバランサーです。バージョン2.11.40以下、3.0.0-beta1から3.6.11、および3.7.0-ea.1には、タイミング攻撃を通じてユーザー名を列挙可能なBasicAuthミドルウェアの脆弱性が含まれています。送信されたユーザー名が存在する場合、ミドルウェアは約166msかけてbcryptパスワード比較を実行します。一方、ユーザー名が存在しない場合、応答は約0.6msで即座に返されます。この約298倍のタイミング差はネットワーク越しに観測可能であり、認証されていない攻撃者が有効なユーザー名と無効なユーザー名を確実に区別できます。この問題はバージョン2.11.41、3.6.11、および3.7.0-ea.2で修正されました。

Harden-Runnerは、GitHub Actionsランナー向けのEDRのように機能するCI/CDセキュリティエージェントです。バージョン2.15.1以下のHarden-Runnerには、DNSクエリをTCP経由で送信することでegress-policy: block（ネットワーク制限）をバイパスできる脆弱性があります。Egressポリシーは、GitHubランナー上でネットワーク層の送信接続をフィルタリングすることで適用されます。egress-policy: blockが制限されたallowed-endpointsリスト（例：github.com:443のみ）で有効になっている場合、非準拠のトラフィックはすべて拒否される必要があります。しかし、大きなレスポンスやUDPのフォールバックに一般的に使用されるTCP経由のDNSクエリは十分に制限されていません。digのようなツールは、+tcpフラグを使って明示的にTCPベースのDNSクエリを開始でき、ブロックされません。この脆弱性を悪用するには、攻撃者がすでにGitHub Actionsワークフロー内でコード実行権限を持っている必要があります。この問題はバージョン2.16.0で修正されています。

Discourseはオープンソースのディスカッションプラットフォームです。2026.3.0-latest.1、2026.2.1、および2026.1.2より前のバージョンにおいて、管理者向けの投稿編集レポート（/admin/reports/post_edits）が、アクセス権のないモデレーターに対してプライベートメッセージおよびセキュアカテゴリー内の投稿の最初の40文字の生の内容を漏洩していました。この問題はバージョン2026.3.0-latest.1、2026.2.1、および2026.1.2で修正されるパッチが含まれています。既知の回避策はありません。

Discourseはオープンソースのディスカッションプラットフォームです。バージョン2026.3.0-latest.1、2026.2.1、および2026.1.2以前のバージョンでは、モデレーターがPMおよびプライベートカテゴリ内の投稿編集の最初の40文字を確認できました。この問題はバージョン2026.3.0-latest.1、2026.2.1、および2026.1.2で修正されています。現在、利用可能な回避策はありません。

Discourseはオープンソースのディスカッションプラットフォームです。2026.3.0-latest.1、2026.2.1、および2026.1.2より前のバージョンでは、タグ編集権限を持つユーザーが、制限されたタググループに隠されているタグの可視性がなくても、これらのタグの同義語を編集および作成できました。バージョン2026.3.0-latest.1、2026.2.1、および2026.1.2にはこの問題を修正するパッチが含まれています。既知の回避策はありません。

追加の制限により権限の問題が対処されました。この問題はmacOS Tahoe 26.4で修正されています。アプリがGatekeeperのチェックを回避する可能性がありました。

この問題は権限チェックの改善によって対処されました。この問題はiOS 18.7.7およびiPadOS 18.7.7、iOS 26.4およびiPadOS 26.4、macOS Sequoia 15.7.5、macOS Sonoma 14.8.5、macOS Tahoe 26.4、visionOS 26.4、watchOS 26.4で修正されています。ローカルの攻撃者がユーザーのキーチェーン項目にアクセスできる可能性があります。

一時ファイルの取り扱いを改善することでプライバシーの問題に対処しました。この問題はmacOS Tahoe 26.4で修正されています。印刷プレビューを使用する際に、ドキュメントが一時ファイルに書き込まれることがあります。

Parse Serverは、Node.jsを実行できる任意のインフラストラクチャに展開可能なオープンソースのバックエンドです。バージョン8.6.60および9.6.0-alpha.54以前のバージョンでは、攻撃者がユーザーのパスワードと単一のMFA回復コードを入手した場合、その回復コードを同時並行のログインリクエストを送信することで無制限に再利用することが可能でした。これにより、回復コードの使い捨て設計が無効化されました。この攻撃には、ユーザーのパスワード、有効な回復コード、およびミリ秒単位で同時並行のリクエストを送信する能力が必要です。この問題はバージョン8.6.60および9.6.0-alpha.54で修正されています。

GitLabはGitLab EEのすべてのバージョン18.1から18.8.7未満、18.9から18.9.3未満、および18.10から18.10.1未満に影響を与える問題を修正しました。この問題では、特定の条件下で認証済みユーザーが認可決定のキャッシュ不備によりリソースへ不正アクセスを獲得する可能性がありました。

PinchTabは、AIエージェントにChromeブラウザの直接制御を提供するスタンドアロンのHTTPサーバーです。バージョン0.8.2以下には、/downloadエンドポイントにブラインドSSRFの脆弱性があります。validateDownloadURL()関数は初期のユーザー提供URLのみを検証しますが、埋め込まれたChromiumブラウザは検証後に攻撃者が制御するリダイレクトやナビゲーションを内部ネットワークアドレスへ追従できます。悪用するにはsecurity.allowDownload=true（デフォルトでは無効）を有効にする必要があり、実際の影響は制限されています。攻撃者が制御するページはJavaScriptのリダイレクトやリソース要求を使用して、PinchTabホストから内部サービスへブラウザを到達させます。そのため、内部専用サービスに対してブラインドなサーバーサイドリクエストフォージェリ(SSRF)状態を引き起こします。この問題はバージョン0.8.3で修正されました。

SOGo 5.12.5より前のバージョンでは、ユーザーがOTPを無効化または有効化してもOTPが更新されず、推奨される20桁ではなく12桁という非常に短い長さになっていました。

StudioCMSはサーバーサイドレンダリングされたAstroネイティブのヘッドレスコンテンツ管理システムです。バージョン0.4.4以前では、StudioCMSのREST APIの`getUsers`エンドポイントが攻撃者が制御可能な`rank`クエリパラメータを使用してオーナーアカウントを結果セットからフィルタリングするかどうかを決定していました。その結果、管理者トークンで`rank=owner`をリクエストすると、隣接する`getUser`エンドポイントが管理者によるオーナーユーザーの閲覧を正しくブロックしているにもかかわらず、ID、ユーザー名、表示名、メールアドレスを含むオーナーアカウントの記録を受け取ることが可能でした。これは同一のユーザー管理画面内で認可の不整合が発生していたことを意味します。バージョン0.4.4でこの問題は修正されました。

Parse Serverは、Node.jsを実行できるあらゆるインフラストラクチャに展開可能なオープンソースのバックエンドです。バージョン9.6.0-alpha.28および8.6.48より前では、パスワードリセット機構がリセットトークンの一回限りの使用保証を強制していませんでした。ユーザーがパスワードリセットを要求すると、生成されたトークンは短時間のうちに複数の同時リクエストによって消費される可能性があります。パスワードリセットトークンを傍受した攻撃者は、正当なユーザーのパスワードリセット要求と競合し、両方のリクエストを成功させることが可能です。これにより、正当なユーザーは自分のパスワードが正常に変更されたと信じる一方で、攻撃者のパスワードが実際には有効になる可能性があります。パスワードリセット機能を使用するすべてのParse Serverの展開が影響を受けます。バージョン9.6.0-alpha.28および8.6.48以降では、パスワードリセットトークンはパスワード更新操作の一部として原子的に検証および消費されます。パスワードを更新するデータベースクエリにはリセットトークンが条件として含まれており、同時に一つのリクエストのみがトークンを正常に消費できることが保証されています。同じトークンを使用した後続のリクエストは、トークンが既にクリアされているため失敗します。アップグレード以外に既知の回避策はありません。

SMR 2026年3月リリース1以前のフォント設定における暗号署名の検証が不適切であったため、物理的な攻撃者がカスタムフォントを使用できる可能性があります。

SMR Mar-2026 Release 1以前のSettingsにおける不適切な認可の問題により、ローカル攻撃者がアプリケーションのバックグラウンドデータ使用の設定を無効にすることが可能です。

Mattermostのバージョン10.11.xから10.11.10までにおいて、アカウント認証タイプの切り替えを処理する際にユーザーの認証方法を検証しない不備が存在します。この不備により、認証済みの攻撃者が異なる認証プロバイダーを誤って主張することで、確認なしにアカウントのパスワードを変更できる可能性があります。

LangChainはエージェントおよびLLM搭載アプリケーションを構築するためのフレームワークです。バージョン1.2.11より前のChatOpenAI.get_num_tokens_from_messages()メソッドは、ビジョン対応モデルのトークン数を計算する際に、検証せずに任意のimage_urlの値を取得していました。これにより、攻撃者は悪意のある画像URLをユーザー入力として提供し、サーバーサイドリクエストフォージェリ（SSRF）攻撃を引き起こす可能性がありました。この脆弱性はバージョン1.2.11で修正されました。

Mattermostのバージョン10.11.xから10.11.10までには、チームメンバーロールのAPIエンドポイントにおける権限要件の検証が適切に行われない脆弱性が存在します。このため、チーム管理者がメンバーをゲストロールに降格させることが可能です。

CNI portmapプラグインは、コンテナがホストポートを開く動作をエミュレートし、そのトラフィックをコンテナに転送できるようにします。バージョン1.6.0から1.8.0までは、portmapプラグインがnftablesバックエンドで構成されている場合に、ホストポートと同じ宛先ポートを持つすべてのトラフィックが誤って転送され、宛先IPが無視される問題が発生していました。これにはノード自身を意図しないトラフィック、すなわちノード上でホストされているコンテナ宛てのトラフィックも含まれます。HostPort転送を要求するコンテナは、そのポート宛てのすべてのトラフィックを傍受できます。この問題はportmapプラグインが明示的にnftablesバックエンドを使用するように構成されている場合に発生します。この問題はバージョン1.9.0で修正されました。回避策として、portmapプラグインをiptablesバックエンドで構成してください。iptablesバックエンドにはこの脆弱性が存在しません。

Dark Readerはウェブページの色を暗くするアクセシビリティ用のブラウザ拡張機能です。この拡張の動的ダークモード機能は、CSSスタイルシートファイルに含まれるウェブページの色を解析することで動作します。クロスオリジンのスタイルシート（元のウェブページとは異なるウェブサイトに保存されているもの）を解析するために、Dark Readerはバックグラウンドワーカーを通じてそのようなファイルをリクエストし、そのリクエストが認証情報なしで行われ、レスポンスのコンテンツタイプがCSSファイルであることを保証していました。Dark Reader 4.9.117以前では、このスタイル内容はHTMLのStyle要素に割り当てられ、スタイル宣言の解析とループに用いられ、またパフォーマンス向上のためページのセッションストレージにも保存されていました。これにより、例えばリンクが`http[:]//localhost[:]8080/style[.]css`を指すことで、ウェブサイト作成者がローカルで動作中のウェブサーバーからスタイルシートをリクエストできてしまう可能性がありました。ホスト名、ポート、ファイル名を総当たり攻撃することはパフォーマンスへの影響が大きいため短時間でブラウザタブがハングすることから考えにくいですが、URLが事前に完全に分かっていればリクエストは可能でした。2025年12月18日時点でこの問題の既知の悪用例は報告されていません。この問題は2025年12月3日のバージョン4.9.117で修正されており、スタイルシートは現代的なConstructed Style Sheets APIを用いて解析され、クロスオリジンのスタイルシート内容はもはやページのセッションストレージに保存されなくなりました。さらにバージョン4.9.118（2025年12月8日）では、ローカルホストの別名、IPアドレス、ポート付きホスト、非HTTPSリソースへのクロスオリジンリクエストが制限されています。大多数のユーザーは1週間以内にバージョン4.9.117または4.9.118への自動アップデートを受けています。しかし、ユーザーは自動更新がブロックされていないことと、拡張機能の最新バージョンを使用していることをchrome://extensionsやabout:addonsのブラウザ設定ページで必ず確認する必要があります。手動ビルドを使用しているユーザーはバージョン4.9.118以降にアップグレードすべきです。独自のウェブサイト用に`darkreader` NPMパッケージを利用している開発者はおそらく影響を受けませんが、クロスオリジンリクエストを行うために`setFetchMethod()`に渡す関数が意図した範囲内で動作していることを確認しなければなりません。Dark Readerの古いバージョンのカスタムフォークを用いて他の拡張機能を構築したり、アプリやブラウザに組み込んだ開発者は、クロスオリジンリクエストを安全に行い、レスポンスがアプリや拡張機能外部からアクセスされないようにしなければなりません。