CATEGORY
脆弱性
Webサイトの運用に関わるソフトウェアの脆弱性情報の一覧です。深刻度（CVSS）・悪用状況・修正状況とあわせて、影響を受ける製品と対応の要点を新しい順に掲載しています。
112件の記事
ARTICLES
記事一覧
新着順・1〜15件を表示
-
9.1
CRITICAL
@fastify/http-proxy 9.0.0以上11.6.6未満（CVE-2026-120213）、@fastify/http-proxy 11.6.0〜11.6.2（CVE-2026-120214）、@fastify/reply-from 12.8.1未満（CVE-2026-117518）
公開用に限定した上流パスを越えて別のエンドポイントへ到達する可能性。表示スコア9.1はCVE-2026-120213の値。120214は上流でのバックスラッシュ解釈が条件で5.9、117518は8.2。
-
9.9
CRITICAL
pgAdmin 4 9.19未満（主題CVEの影響範囲）
認証済み利用者によるpgAdminホスト上のOSコマンド実行、認証先の取り違え、利用者間・サービスアカウントの資格情報流用など。CVSSはCVE-2026-116241の値。
-
7.3
HIGH
AWS CDK Redshift用実験モジュール：2.274.0-alpha.0未満
コンストラクトの値を変更できる者が、デプロイ時にスーパーユーザー権限で実行するSQLを変える可能性。
-
5.9
MEDIUM
AWS SDK for pandas（awswrangler）3.16.1未満のAthenaモジュール
既定のクエリ結果バケットの所有者を検証しない構成で、第三者が結果を閲覧・改ざんする可能性があります。
-
—
HIGH
AWS Nitro Enclaves SDK for C 0.4.5以前
親EC2上の入力によりエンクレーブ内のコード実行やKMS偽応答の注入につながる可能性があります。
-
—
CRITICAL
Drupal Commerce Core 2.41未満および3.0.0以上3.3.13未満（主題CVE-2026-118539）
特定ルートとエンティティーフィールドの保護不備によりアクセス制御を回避され、販売者に金銭的影響が生じる可能性があります。CVE-2026-118539は実環境で悪用されており、同時修正の他5件とは成立条件が異なります。
-
9.8
CRITICAL
LinuxカーネルのIPv4 TCP接続処理
IPv4 TCP接続処理のuse-after-free。MPTCPリスナーで認証不要のroot権限コマンド実行を研究元が実証。
-
8.5
HIGH
AWS Private CA Connector for Kubernetes（aws-privateca-issuer 1.10.1未満／EKSアドオン 1.10.1-eksbuild.1未満）
名前空間内の発行者だけを承認された認証済み利用者が、一定条件下で未許可のクラスター発行者から下位CA証明書を含む証明書を取得できる。
-
8.2
HIGH
Amazon Kinesis Producer Library for Java：com.amazonaws:amazon-kinesis-producer 0.15.12以下、Amazon Kinesis Producer Library for Java：software.amazon.kinesis:amazon-kinesis-producer 1.0.8未満
同じホストのローカル利用者やDEBUGログの閲覧者がアプリケーションのAWS資格情報へ到達する可能性があります。
-
8.2
HIGH
Praktor 0.9.0以前（Telegram添付を受け取る構成）
Telegram添付の利用者制御ファイル名により永続ワークスペース内の指示・スキル・フック・設定を作成または上書きされ、後続のAIエージェント実行へ持続的な命令注入が及ぶ可能性があります。
-
7.1
HIGH
pypdf 6.21.3より前の版
細工された暗号化PDFのページ数取得や相互参照ストリーム解析により長時間処理・大量メモリー使用が起こり、PDF処理サービスの可用性へ影響する可能性があります。
-
7.3
HIGH
awslabs.aws-api-mcp-server 1.3.0以上1.6.0未満（streamable-http＋OAuth構成）
同じIDプロバイダーの別アプリ向けに発行されたトークンが受け入れられ、ホストのAWS認証情報で許可された範囲のAWS APIを呼び出される可能性があります。
-
4.2
MEDIUM
Podman Quadlet（5.7.0で問題導入、上流5.8.6・6.0.0で修正。配布元のバックポートは個別確認）
短いQuadletへの置換で旧ファイル末尾が残り、削除した追加権限やマウントが有効な設定として残存する可能性がある。
-
—
N/A
Contact Form 7 6.2〜6.2.3
認証なしで本来拒否されるファイルをアップロードし送信後も残存させる可能性。ファイル入力欄とHTTPサーバーのディレクトリ一覧公開が対象条件。
-
9.2
CRITICAL
Sophos UTM（SG UTM）9.724以前：スキャンを有効にしたメールプロキシ
認証していない遠隔の攻撃者が繰り返し攻撃で競合状態に勝つとroot権限で任意コマンドを実行できる。
※悪用の「未確認」は、最終確認時点で悪用の報告が見つかっていないことを示します。悪用されていないことを保証するものではありません。「不明」は公表情報に悪用状況の記載がないものです。
スポンサーリンク