全国公的データラボ読み込み中…
読み込んでいます…
脆弱性情報（JVN）
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 294,721 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
深刻度 High 直近1年 の検索結果：3,201–3,240 件目を表示（ページ 81）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
OpenClawの2026年5月20日以前のバージョンには、フックがトリガーされたエージェントが誤って所有者スコープのMCPループバック権限を取得し、フックに適したスコープを受け取らない特権昇格の脆弱性があります。有効なフックトークンを持つ攻撃者は、/hooks/agentエンドポイントを悪用して生成されたCLIランタイムに所有者専用のMCPツールへのアクセスや呼び出しを行わせ、永続的なcron状態の変更などの特権アクションを実行できます。
OpenClawの2026年5月18日以前のバージョンには、不十分な出所検証の脆弱性が存在し、ノードのイベント処理においてペアリングされたノードがsystem.runの承認なしにexecライフサイクルイベントを偽造できるという問題があります。悪意のある、または侵害されたペアリングノードは改ざんされたnode.eventメッセージをゲートウェイに送信し、ターゲットセッションをexecイベントパスに誘導し、縮小されたノード表面が提供すべきでない機能を露出させる可能性があります。
OpenClawの2026年5月22日以前のバージョンには、Control UIペアリングにおけるローカリティ検証の脆弱性が存在し、ネットワークアクセス権を持つ攻撃者がローカリティ情報を偽装して永続的な管理者権限を持つデバイストークンを取得できます。攻撃者はローカリティに基づく信頼検証の不十分さを悪用して、一時的な共有アクセス権をトークン更新後も有効な永続的な管理者資格情報に変換することが可能です。
OpenClawの2026年5月27日以前のバージョンには、スキルインストールのフローにおいて任意のコード実行が可能な脆弱性があります。これは、ワークスペースの.envファイルがHomebrew実行ファイルの選択を上書きできるためです。信頼されたオペレーターワークスペースへのアクセス権を持つ攻撃者は、スキルセットアップ中に意図しないHomebrew互換の実行ファイルを実行し、システムを侵害する可能性があります。
はい。製品・ベンダ・脆弱性タイプ（CWE）で全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順に表示します。
脆弱性の深刻さを0〜10で表す共通指標です。数値が大きいほど影響が大きく、緊急・重要・警告・注意などの区分で絞り込めます。
各脆弱性の詳細ページで、影響を受ける製品・ベンダを確認できます。ベンダ名は法人検索と突き合わせて企業情報もたどれます。
JVN（IPA〔情報処理推進機構〕・JPCERT/CC 提供）の公開情報を収録しています。対応の要否は必ず各JVN詳細・公式情報でご確認ください。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全294,721件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。
Substance3D - Sampler バージョン 6.0.0 以前には、境界外書き込みの脆弱性が存在しており、これにより現在のユーザーのコンテキストで任意のコードを実行される可能性があります。この問題を悪用するには、被害者が悪意のあるファイルを開くというユーザーの操作が必要です。
Substance3D - Sampler バージョン 6.0.0 以前には、現在のユーザーのコンテキストで任意のコードが実行される可能性のある境界外書き込みの脆弱性が存在します。この問題を悪用するには、被害者が悪意のあるファイルを開く操作が必要です。
Visual Studio Codeの不適切な入力検証により、認証されていない攻撃者がネットワーク経由で権限を昇格させることが可能です。
Windows Universal Disk Formatファイルシステムドライバー（UDFS）に特権昇格の脆弱性が存在します。
Emlog Pro v2.6.9 のテンプレートアップロード機能にパス・トラバーサルの脆弱性が存在し、認証済みの管理者が任意のPHPコードを実行できる可能性があります。悪意のあるZIPアーカイブ内のファイル名にディレクトリ・トラバーサルのシーケンスを含めてアップロードすることで、攻撃者はデフォルトのテンプレートファイルを上書きしたり、現在のテンプレート内に悪意のあるコードファイルを直接含めたりすることができます。
Spring HATEOASの内部メソッドPropertyUtils.createObjectFromPropertiesは、Collection+JSONおよびUBERメディアタイプのデシリアライザで使用されており、Jacksonのアクセス制御アノテーションを参照せずにリフレクションを介してビーンプロパティをバインディングします。影響を受けるバージョンは、Spring HATEOAS 1.5.0から1.5.6、2.3.0から2.3.4、2.4.0から2.4.1、2.5.0から2.5.2、および3.0.0から3.0.3です。
Spring HATEOASは、攻撃者が提供した文字列をキーとして無制限の静的キャッシュを保持するStringLinkRelationインスタンスに関する問題があります。影響を受けるバージョンは、Spring HATEOAS 1.5.0から1.5.6、2.3.0から2.3.4、2.4.0から2.4.1、2.5.0から2.5.2、および3.0.0から3.0.3です。
Microsoft Kinectの不適切なアクセス制御により、認証された攻撃者がローカルで権限を昇格させることが可能となります。
Microsoft Windows DNSのヒープベースのバッファオーバーフローにより、認証された攻撃者がローカルで権限を昇格させることが可能です。
spring-websocketモジュールのWebSocketセッションIDは暗号学的に予測不可能ではなく、不十分な認可ルールと組み合わせると悪用される可能性があります。影響を受けるバージョンは、Spring Frameworkの7.0.0から7.0.7、6.2.0から6.2.18、6.1.0から6.1.27、5.3.0から5.3.48までです。
アプリケーションには、攻撃者がパターンを提供でき、そのパターンがAntPathMatcherの以下のメソッドのいずれかに直接または間接的に渡された場合に、正規表現によるサービス拒否（ReDoS）攻撃の脆弱性が存在する可能性があります。該当するメソッドは、match(String pattern, String path)、matchStart(String pattern, String path)、extractUriTemplateVariables(String pattern, String path)です。影響を受けるバージョンは、Spring Framework 7.0.0から7.0.7まで、6.2.0から6.2.18まで、6.1.0から6.1.27まで、5.3.0から5.3.48までです。
Svelteはパフォーマンス指向のウェブフレームワークです。バージョン5.51.5から5.55.7未満の間、Svelteランタイム内の正規表現がsvelte:element this={tag}/svelte:element内でテストされる際に指数時間かかる可能性がありました。この問題はバージョン5.55.7で修正されました。
Svelte devalueは、JSON.stringifyが十分でない場合に値を文字列にシリアライズするJavaScriptライブラリです。バージョン5.6.3から5.8.1未満の間に、devalue.parseは一部のJavaScriptエンジンの特異な動作により、まばらな配列をデシリアライズする際に必要以上のメモリを割り当ててしまい、過剰なメモリ消費を引き起こす可能性がありました。この問題はバージョン5.8.1で修正されました。
Windows管理者保護における不適切なアクセス制御により、権限を持つ攻撃者がローカルでセキュリティ機能を回避できる可能性があります。
Function Discovery Service（fdwsd.dll）における不適切な同期により共有リソースの同時実行（レースコンディション）が発生し、認可された攻撃者がローカルで特権を昇格させることが可能になります。
WindowsのProjected File System Filter Driverにおけるバッファオーバーリードの脆弱性により、権限を持つ攻撃者がローカルで権限を昇格させることが可能です。
Windows DWMコアライブラリに存在するUse after freeの脆弱性により、認証された攻撃者がローカルで権限を昇格させることが可能です。
Windows Hotpatch Monitoring Serviceにおける境界外書き込みの脆弱性により、認可された攻撃者がローカルで特権を昇格させることが可能です。
Windows Ancillary Function Driver for WinSockにおけるUse after freeの脆弱性により、認証された攻撃者がローカルで特権を昇格させることが可能です。
Windows Telephony Serviceにおいて、不適切な同期によって共有リソースで同時実行（「レースコンディション」）が発生し、認証された攻撃者がローカルで特権を昇格させることが可能となります。
Windows NT OSカーネルにおける整数アンダーフロー（ラップまたはラップアラウンド）が原因で、認可された攻撃者がローカルで権限を昇格させることが可能になります。
Windowsプッシュ通知における不適切な同期が共有リソースの同時実行（『競合状態』）を引き起こし、認証済みの攻撃者がローカル環境で特権を昇格させる可能性がある問題です。
Flowiseは、カスタマイズされた大規模言語モデルのフローを構築するためのドラッグ＆ドロップのユーザーインターフェースです。バージョン3.1.2以前のFlowiseAIのchatflow更新エンドポイントには、マスアサインメントの脆弱性が存在していました。このエンドポイントは、チャットフローオブジェクトを更新する際に、クライアントがdeployed、isPublic、workspaceId、createdDate、updatedDateなどのサーバー管理プロパティを変更できるようにしていました。サーバー側の検証および認可チェックが欠如していたため、認証されたユーザーがチャットフローの内部属性を操作し、別のワークスペースに再割り当てが可能でした。これにより、ワークスペース間でリソースを再割り当てしたり、展開および表示設定を不正に変更することが可能となっていました。この問題はバージョン3.1.2で修正されています。
Windows NT OSカーネルにおける整数のアンダーフロー（ラップまたはラップアラウンド）が発生することで、認可された攻撃者がローカルで権限を昇格させることが可能になります。
Windows Performance Monitor における整数のアンダーフロー（ラップまたはラップアラウンド）が原因で、認証されていない攻撃者がネットワーク経由でコードを実行できる可能性があります。
Windows DWM Core LibraryにおけるUse after freeの脆弱性により、認証された攻撃者がローカルで権限を昇格させることが可能となります。
Microsoft Graphics ComponentのUse after free脆弱性により、権限を持つ攻撃者がローカルで特権を昇格させることが可能となります。
Windows展開サービスのUse After Freeの脆弱性により、不正な攻撃者がネットワーク経由でコードを実行できる可能性があります。
Winlogonにおけるファイルアクセス前のリンク解決の不適切な処理（「リンク追従」）によって、認証された攻撃者がローカルで権限を昇格させることが可能です。
Windowsプッシュ通知における不適切な同期を伴う共有リソースの同時実行（競合状態）が発生し、認可された攻撃者がローカルで権限を昇格させることが可能です。
Windows Common Log File System DriverにおけるUse after freeの脆弱性により、認可された攻撃者はローカルで特権を昇格させることが可能です。
Windows 暗号サービスの不適切な認証により、不正な攻撃者がローカルで特権を昇格させることが可能になります。
ESF-IDFはEspressifのInternet of Things（IoT）開発フレームワークです。バージョン5.5.4および6.0において、esp_teeコンポーネントはesp_secure_services.cおよびesp_secure_services_iram.c内でセキュアサービスラッパーを公開しています。これはユーザーアプリケーション（すなわちREE）からTEEで保護されたハードウェア周辺機器（AES、SHA、ECC、HMAC、SPI、MMU、WDT）および証明、OTAアップデート、セキュアストレージといったセキュリティ機能への呼び出しを橋渡ししています。この問題はバージョン5.5.5および6.0.1で修正されました。
Apache HTTP Serverのmod_proxy_ftpモジュールにおいて、攻撃者が制御するバックエンドFTPサーバーによって引き起こされる、到達不能な終了条件のループ（無限ループ）という脆弱性があります。この問題はバージョン2.4.0から2.4.67までに影響します。ユーザーは、この問題を修正したバージョン2.4.68へアップグレードすることを推奨します。
攻撃者が制御するOCSPサーバーへのアウトバウンドOCSPリクエストを介してApache HTTPサーバーにバッファオーバーリードの脆弱性が発生する問題です。この問題はApache HTTPサーバーのバージョン2.4.0から2.4.67に影響します。ユーザーはこの問題を修正したバージョン2.4.68へアップグレードすることが推奨されます。
プログラム互換性アシスタントサービスにおけるチェック時と使用時の時間差（TOCTOU）によるレースコンディションが存在し、正当な権限を持つ攻撃者がローカルで特権を昇格させることが可能です。