全国公的データラボ読み込み中…
読み込んでいます…
脆弱性情報（JVN）
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 294,721 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
深刻度 Medium 直近1年 の検索結果：3,561–3,600 件目を表示（ページ 90）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
JetBrains TeamCity 2026.1より前のバージョンには、スレッド名に資格情報が露出する可能性がありました。
JetBrains TeamCity 2026.1より前のバージョンにおいて、SAMLプラグインにオープンリダイレクトの脆弱性が存在していました。
JetBrains TeamCity 2026.1 より前のバージョンでは、SAML ログインページに保存型クロスサイトスクリプティング（XSS）が可能でした。
JetBrains PyCharm 2025.3.4 より前のバージョンには、JupyterノートブックのMarkdownセルにクロスサイトスクリプティング（XSS）が発生する脆弱性がありました。
はい。製品・ベンダ・脆弱性タイプ（CWE）で全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順に表示します。
脆弱性の深刻さを0〜10で表す共通指標です。数値が大きいほど影響が大きく、緊急・重要・警告・注意などの区分で絞り込めます。
各脆弱性の詳細ページで、影響を受ける製品・ベンダを確認できます。ベンダ名は法人検索と突き合わせて企業情報もたどれます。
JVN（IPA〔情報処理推進機構〕・JPCERT/CC 提供）の公開情報を収録しています。対応の要否は必ず各JVN詳細・公式情報でご確認ください。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全294,721件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。
JetBrains YouTrack バージョン 2026.1.13570 より前のバージョンには、不適切なアクセス制御の問題があり、権限の低いユーザーがサービスアカウントを変更できました。
JetBrains YouTrack 2026.1.13570より前のバージョンにおいて、不適切なアクセス制御により、Planning Canvas上の制限された課題や記事を列挙できる脆弱性が存在していました。
Google Chromeのバージョン146.0.7680.178以前において、CSSのUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。
IBM WebSphere Application Server - Liberty 22.0.0.11から26.0.0.5にかけてのIBM WebSphere Application Server Libertyには、特定のタイミングウィンドウを悪用されることで、リモートの攻撃者が限定的な条件下でセキュリティを回避できる可能性があります。
Request Trackerは、GETリクエストの「Page」パラメータを介してリフレクト型クロスサイトスクリプティング（XSS）の脆弱性を有しています。攻撃者は特別に細工したURLを作成し、そのURLを開くことで被害者のブラウザ上で任意のJavaScriptを実行させる可能性があります。この脆弱性はバージョン5.0.4から5.0.9までおよび6.0.0から6.0.2までに影響を及ぼします。
IBM OPENBMC FW1110.00からFW1110.11までのバージョンには、認証されていないネットワークユーザーがサービス拒否（DoS）攻撃を実行できる脆弱性があります。
WindowsおよびLinux上のVelocidex Velociraptorバージョン0.76.5未満のConsumeUnit16ArrayおよびConsumeUnit64Array関数にオフバイワンエラー（CWE-193）が存在し、ローカル攻撃者が特別に細工された.evtxファイルをparse_evtx VQLプラグインに提供することで、プロセスがクラッシュしサービス拒否（DoS）を引き起こす可能性があります。
IBM Guardium Data Protection 12.2.1 および 12.2.2 における Guardium Data Protection のアドオン機能「Long Term Retention」（LTR）には、デバッグモードで機密資格情報が露出する可能性があります。
GitHub Enterprise Serverにおいて、サーバーサイドリクエストフォージェリ（SSRF）の脆弱性が特定されました。この脆弱性により、攻撃者はセキュリティアドバイザリのパッケージルックアップ機能を介してサーバーに内部サービスへのHTTPリクエストを発行させることが可能でした。内部管理サービスへリクエストを向けて応答時間を測定することで、署名用シークレットや秘密鍵などの機密環境変数の値を推測できました。この攻撃を行うにはGitHub Packagesが有効である必要があり、プライベートモードでないインスタンスでは認証なしで脆弱性を悪用でき、プライベートモードの場合は認証済みユーザーであれば悪用可能でした。この脆弱性はGitHub Enterprise Serverの3.21.1より前のすべてのバージョンに影響し、3.20.3、3.19.7、3.18.10、3.17.16、3.16.19の各バージョンで修正されました。この脆弱性はGitHubバグバウンティプログラムを通じて報告されました。
Keycloakに脆弱性が発見されました。認証済みユーザーがクライアント側のJavaScriptを操作することで、クレデンシャル登録時に設定されたWebAuthnポリシーを回避できる可能性があります。これは、サーバー側のprocessAction()が、新たに作成されたクレデンシャルのパラメーター（例えば公開鍵アルゴリズム）が、レルムの設定されたWebAuthnポリシーと一致しているかを検証しないために発生します。この問題により、管理上のセキュリティ要件を満たさないクレデンシャルが作成される可能性があり、非準拠の認証方法を許容してシステム全体のセキュリティ体制が弱まる恐れがあります。
ShadowAttribute提案作成ワークフローに脆弱性が特定されました。addアクションはレコードを保存する前にidフィールドを削除せず、ユーザーが制御するShadowAttributeリクエストデータを受け入れていました。基盤となるフレームワークは提供された主キーを既存のレコードを更新するための指示として扱うため、shadow attribute提案を送信できる認証済みユーザーは既存のShadowAttributeの識別子を提供し、そのレコードを新しい提案として作成する代わりに更新させることができました。これにより既存のShadowAttributeが不正に変更される可能性があり、ユーザーが変更すべきでないイベントに関連する提案にも影響を及ぼしました。展開構成やアクセス可能なAPI応答によっては、この問題により提案データがイベントコンテキスト間で露出または移動されることもあります。この脆弱性はオブジェクト作成時にクライアントから提供された主キーを信頼したために発生しました。修正では処理前に受信したShadowAttributeデータからidフィールドを削除し、エンドポイントが常に新しい提案を作成し既存の提案を更新しないようにしています。この問題はMISP 2.5.38で修正されました。
libsolvに脆弱性が発見されました。このヒープバッファオーバーフローの脆弱性は、攻撃者が特別に細工した負のサイズ値を含む`.solv`ファイルを`repo_add_solv`関数で処理する際に発生します。これにより、割り当てられるメモリが過小評価され、その後に境界外書き込みが生じます。攻撃者はこの脆弱性を悪用してサービス拒否（DoS）を引き起こす可能性があります。
libsolvに脆弱性が発見されました。このスタックベースのバッファオーバーフロー脆弱性は、特別に細工されたDebianリポジトリのメタデータを処理する際にlibsolvのDebianメタデータパーサーで発生します。攻撃者は悪意のあるSHA384またはSHA512チェックサムタグを提供することで、この脆弱性を悪用でき、メモリが破損したり、影響を受けたシステムがサービス拒否（DoS）状態になる可能性があります。
OpenSupportsは、任意のアカウントの「監督されたユーザー」リストを編集できるエンドポイントを公開していますが、その操作を行う者がそのリストの所有者であるかどうかを検証しません。そのため、レベル1のスタッフメンバーは第三者（対象ユーザー）の監督関係を変更でき、その後、追加された「監督された」ユーザーのチケットを閲覧可能になります。これにより認可モデルが破壊され、他ユーザーのチケットの内容がフィルターされてしまいます。この問題はOpenSupportsバージョン4.11.0に影響します。
Synology BeeDrive for desktop の redis-server コンポーネントにおいて、外部の第三者がアクセス可能なファイルまたはディレクトリに関する脆弱性がバージョン 1.3.2-13814 未満で確認されています。この脆弱性により、ローカルユーザーが不特定の手段を用いてサービス拒否（DoS）攻撃を実行する可能性があります。
IBM SDI 7.2.0.0から7.2.0.14、およびIBM Security Directory Integrator 10.0.0.0から10.0.0.2において、詳細な技術的エラーメッセージがブラウザに表示される場合、リモートの攻撃者が機密情報を取得する可能性があります。この情報はシステムに対するさらなる攻撃に利用される恐れがあるため、注意が必要です。
IBM webMethods Integration（オンプレミス）- Integration Server 10.15 から IS_10.15_Core_Fix2611.1 および IS_11.1_Core_Fix10 までのバージョンにおいて、IBM webMethods Integration はサーバーサイドリクエストフォージェリ（SSRF）の脆弱性を有しています。これにより、認証された攻撃者がシステムから不正なリクエストを送信できる可能性があり、ネットワークの列挙やその他の攻撃を助長するリスクがあります。
ComputerEngine.javaの多くの関数において、コード内の論理エラーによりユーザー間でURIにアクセスできる可能性があります。このため、追加の実行権限を必要とせずにローカルで権限昇格が発生する可能性があります。悪用するためにユーザーの操作は必要ありません。
CarDevicePolicyService.java の setUserDisclaimerAcknowledged において、権限チェックが欠如しているため、管理対象デバイスにアカウントを追加する際のユーザーダイアログを回避できる可能性があります。これにより、追加の実行権限がなくてもローカルで特権昇格が発生する可能性があります。悪用にはユーザーの操作が不要です。
IBM watsonx.data 2.2から2.3.1のIBM Lakehouseには、受信および送信接続が適切に制限されていないという脆弱性があります。このため、攻撃者がファイルを制限なく転送したり改変したりする可能性があります。
IBM Financial Transaction Manager for SWIFT Services for Multiplatforms 3.2.4.0から3.2.4.15までのIBM Financial Transaction Manager SWIFTにはクロスサイトスクリプティングの脆弱性があります。この脆弱性により、認証されていない攻撃者がWeb UIに任意のJavaScriptコードを埋め込むことができ、その結果、意図された機能が変更され、信頼されたセッション内で資格情報が漏洩する可能性があります。
APIリクエストを処理する際、Alteryxサーバー2022.1.1.42654および2024.1はMongoDBオブジェクトIDを使用して呼び出し元が要求するデータを一意に識別していました。しかし、Alteryxサーバーは認証されたユーザーが指定されたMongoDBオブジェクトIDにアクセスする権限を持っているかどうかを確認しませんでした。特定のMongoDBオブジェクトIDを指定することで、呼び出し元は適切な認可なしに他のユーザーのレコードを取得できました。この攻撃により取得可能なレコードには管理者用APIキーおよびプライベートスタジオAPIキーが含まれていました。
NotificationManagerService.java の isSameApp において、リソース枯渇による持続的なサービス拒否が発生する可能性があります。これにより、追加の実行権限を必要としないローカルでのサービス拒否が引き起こされます。悪用のためにユーザーの操作は不要です。
電力線インターフェースを通じてデバイスを工場出荷時設定にリセットする際に情報漏洩が発生し、その結果、認可されていないアクセスによってデバイスの構成を変更できるようになる。
診断サービスにおいて入力検証が欠如しているため、メモリ破損が発生する脆弱性です。
不正な信頼されたアプリケーションリクエストを送信した際に発生するWindowsドライバーのメモリ破損の脆弱性です。
データコピー操作中に、出力バッファのサイズが入力バッファのサイズより小さい場合、メモリ破損が発生します。
出力バッファサイズが不十分な状態で乱数生成コマンドを送信すると、メモリが破損します。
Synology Active Backup for Business Agent バージョン 3.1.0-4967 未満にはオリジン検証エラーの脆弱性が存在しており、この脆弱性によりローカルユーザーが制限された内容の任意のファイルを書き込むことができ、インストール中にサービス拒否を引き起こす可能性があります。
Synology Assistant 7.0.6-50085より前のバージョンにおいて、オリジン検証エラーの脆弱性が存在します。この脆弱性により、ローカルユーザーが制限された内容の任意のファイルを書き込んだり、インストール中にサービス拒否（DoS）攻撃を行ったりする可能性があります。
精巧に作成されたJavaScriptの入力により、QuickJSの2025年9月13日リリースにおいて内部アサーション失敗が引き起こされる可能性があります。この問題は2025年12月11日にコミット1dbba8a88eaa40d15a8a9b70bb1a0b8fb5b552e6で修正されました。対象ファイルはquickjs.cのgc_decref_child関数であり、-mオプションを使用してqjsインタプリタで実行すると発生します。これにより、ガベージコレクション中にabort（SIGABRT）が発生してサービス拒否（DoS）を引き起こします。
AccessibilityManagerService.java の複数の関数で不適切な入力検証が行われており、その結果、永続的なサービス拒否が発生する可能性があります。これにより、追加の実行権限を必要とせずにローカルでサービス拒否が引き起こされる可能性があります。悪用するためにユーザーの操作は不要です。
ubsan_throwing_runtime.cppの複数の関数において、整数オーバーフローにより持続的なサービス拒否が発生する可能性があります。この脆弱性により、追加の実行権限を必要とせずにリモートからサービス拒否を引き起こすことができます。利用者が操作する必要はありません。
ubsan_throwing_runtime.cppの複数の関数において、整数オーバーフローが発生し、クラッシュを引き起こす可能性があります。これにより、追加の実行権限を必要とせずリモートでサービス拒否（DoS）を引き起こすことが可能です。悪用のためにユーザーの操作は必要ありません。
ubsan_throwing_runtime.cpp の複数の関数で、整数オーバーフローにより UBSan が失敗する可能性があります。これにより、追加の実行権限を必要とせずにリモートからサービス拒否（DoS）が引き起こされる恐れがあります。エクスプロイトにはユーザーの操作が必要ありません。
ubsan_throwing_runtime.cpp の複数の関数において、リソース枯渇により持続的なサービス拒否が発生する可能性があります。これにより、追加の実行権限を必要とせずにローカルでサービス拒否が引き起こされる可能性があります。悪用するためにユーザーの操作は不要です。