CATEGORY
脆弱性
Webサイトの運用に関わるソフトウェアの脆弱性情報の一覧です。深刻度（CVSS）・悪用状況・修正状況とあわせて、影響を受ける製品と対応の要点を新しい順に掲載しています。
34件の記事
ARTICLES
記事一覧
新着順・16〜30件を表示
並べ替え・絞り込み 新着順 / 深刻度：高
-
8.1
HIGH
Amazon SageMaker Python SDK V2：2.257.3未満、Amazon SageMaker Python SDK V3：3.0.0以上3.10.0未満
自アカウントに既定バケットがまだ存在しない場合、第三者によるバケット名の先取りでコード・成果物の読み取りや改変が可能となり、SageMaker実行環境でのコード実行と実行ロールのIAM認証情報の取得につながるおそれがある。
-
7.8
HIGH
AWS SAM CLI 1.63.0以上1.166.2未満でTerraformフックを使用する開発端末・CI
攻撃者がビルド入力のTerraform設定またはplanファイルへ影響できる場合、ビルド利用者の権限でOSコマンドを実行されるおそれがあります。AWS資格情報がなくても実行され、後からビルドが失敗しても影響を否定できません。
-
8.1
HIGH
Strands Agents SDKのA2Aサーバー：multiagent.a2aを含むPython版strands-agents 1.43.0未満、TypeScript版@strands-agents/sdk 1.5.0未満
複数の利用者またはテナントが到達する構成で、認証済みの遠隔利用者が他の利用者の会話履歴を参照したり、モデルの応答へ影響したりするおそれがあります。
-
7.5
HIGH
Splunk Enterprise 10.4.4未満・10.2.8未満・10.0.11未満の該当系列で利用するEdge Processorのパッケージ配布機能
認証されていない利用者の反復要求で過剰な資源消費や応答停止につながります。配布認証へ切り替える際に旧Edge Processorを残すと、次の再起動や更新時にログ収集が止まるおそれがあります。
-
—
HIGH
Google Kubernetes Engine（GKE）：COSまたはUbuntuノードイメージを使うサポート中のStandard／Autopilot、GKE上のアプリ用コンテナ：独立した信頼ストアを持つイメージ
侵害されたeMudhraのCAを信頼する未更新の外部TLS接続では、通信経路に介入できる攻撃者によるなりすまし・盗聴・改ざんのおそれがある。GKE内部のプライベートPKIによるmTLSは影響しない。
-
—
HIGH
Vercel上で稼働するNode.jsアプリケーション、Vercelから接続する自前のNode.jsバックエンド、外部のBrotli圧縮応答を解凍する処理
攻撃者が制御するBrotli圧縮データを脆弱なNode.jsで解凍すると、メモリー開示やリモートコード実行につながる可能性があります。Vercelの受信WAFは、関数が外部サーバーから取得する応答を保護しません。
-
7.0
HIGH
Traefik v2、Traefik v3、TraefikのForwardAuthミドルウェア、TraefikのKubernetes Ingress NGINXプロバイダー
接続依存型のNTLMまたはSPNEGO／Kerberos Negotiate認証をForwardAuth等で利用する構成では、認証サーバーへの共有接続が別クライアントへ再利用され、未認証の利用者が被害者の認証結果と属性を引き継いで保護対象へアクセスする可能性があります。
-
8.1
HIGH
ISC BIND 9、BIND Supported Preview Edition
構成に応じて資源消費やアサーション失敗によるDoS、GSS-TSIGの条件下でメモリー破壊と遠隔コード実行の可能性。CVSS 8.1はCVE-2026-94300の評価であり他の3件は7.5。ISCは公開時点で悪用を認識していない。
-
—
HIGH
Node.js 22.x、Node.js 24.x、Node.js 26.x
Brotliデコーダーの境界外書き込みによるRCE、DNS・TLS検証の不備、スナップショットやSEAでの乱数再利用、権限モデル回避など。影響条件は利用API・系列・入力経路によって異なる。 CISAの悪用確認はBrotliのCVE-2026-111497が対象であり、他の掲載CVEや特定のNode.js環境の侵害を示すものではありません。
-
8.6
HIGH
アツミ電氣のADXシリーズDVR
アツミ電氣とJVNは2026年10月20日、ADXシリーズのDVRに非公開の保守機能を悪用される問題があると公表しました。管理者権限でログイン可能な利用者によって、OSコマンドの実行や不正なファームウェアへの書き換えが行われる可能性があります。認証なしで誰でも操作できると説明された問題ではありません。
-
8.5
HIGH
AssetView、AssetView CLOUD、AssetView Cloud +
ハンモックとJVNは2026年10月13日、AssetViewに一般ユーザーからSYSTEM権限を取得される可能性のある脆弱性を公表しました。CVE-2026-101020で、JVNのCVSS v4.0基本値は8.5です。対象製品の管理コンソールまたはクライアントモジュールが動作するWindowsへログインできる攻撃者が条件となります。
-
—
HIGH
Plex Media Server 1.43.3.10861より前
4件を連鎖させることで未認証の遠隔攻撃者がPlex Media Serverプロセスの権限でコードを実行できる可能性があり、マイナーやプロキシソフトウェアの稼働が確認されている。
-
—
HIGH
Firefox、Firefox ESR、Network Security Services（NSS）
侵害されたeMudhra中間証明書に関係する偽のHTTPS証明書を、通信を横取りできる攻撃者が悪用するおそれ。OneCRL未受信環境にも更新で対策を配布。
-
8.4
HIGH
Siemens Software Center 4.0.9.8未満
制御されていない場所のDLLを読み込み、影響を受けるアプリケーションの権限で任意コードが実行される可能性。署名付きの正規実行ファイルと攻撃者のDLLを組み合わせた悪用をSiemensが2026年10月19日に確認・公表。
-
7.5
HIGH
Adobe Content Credentials Rust SDK、Adobe Content Credentials JS SDK、C2PA Tool
証明書検証の不備により来歴情報の検証に使うセキュリティ機能を迂回される可能性がある。CVE-2026-100122はCVSS v3.1で7.5と評価されている。
※悪用の「未確認」は、最終確認時点で悪用の報告が見つかっていないことを示します。悪用されていないことを保証するものではありません。「不明」は公表情報に悪用状況の記載がないものです。
スポンサーリンク