VULNERABILITY
脆弱性情報
Webサイトの運用に関わるソフトウェアの脆弱性情報の一覧です。深刻度（CVSS）・悪用状況・修正状況とあわせて、影響を受ける製品と対応の要点を新しい順に掲載しています。
90件の記事
ARTICLES
脆弱性の一覧
新着順・1〜15件を表示
並べ替え・絞り込み 新着順 / 修正：提供済み
-
9.2
CRITICAL
Sophos UTM（SG UTM）9.724以前：スキャンを有効にしたメールプロキシ
認証していない遠隔の攻撃者が繰り返し攻撃で競合状態に勝つとroot権限で任意コマンドを実行できる。
-
5.3
MEDIUM
mcp-server-git 2026.10.28未満
許可リポジトリ内の入れ子の.git参照を経由し、条件を満たす利用者が範囲外リポジトリのコミット済みファイルを読み取り、ブランチなどの参照を変更できる可能性があります。
-
—
N/A
Apache Struts 2 RESTプラグイン 7.2.1～7.3.0
RESTボディの@JsonAnySetterへの入力に@StrutsParameterの認可が適用されず、データ改ざんにつながる可能性がある。
-
2.7
LOW
VMware ESX 8.0／9.0／9.1、VMware Cloud Foundation 5.x、VMware Telco Cloud Platform 5.0.x／5.1.x
管理権限を持つ攻撃者が一部操作をログへ記録させずに実行でき、侵害後の監査や調査に影響する。
-
8.6
HIGH
Cisco Secure Firewall ASA Software（脆弱な版でSSL VPNに到達でき対象トンネルグループに二次認証を設定した構成）、Cisco Secure Firewall Threat Defense Software（同条件のリモートアクセスSSL VPN構成）
認証不要の遠隔攻撃により機器が予期せず再起動しサービス拒否に至る。Cisco PSIRTは2026年10月に悪用を把握。
-
9.3
CRITICAL
OpenHands Software Agent SDK 1.52.0未満
公開されたサンドボックス管理ポートへ到達した攻撃者が、認証なしでサンドボックス内のコマンドをroot権限で実行し、マウントしたワークスペースやシークレットを読み取るおそれがあります。
-
8.5
HIGH
ai-sdlc plugin MCP Server 0.31.2以下（@ai-sdlc/plugin-mcp-server）
MCPツールのrepo引数を操作されると、MCP Serverを実行するOSユーザー権限で任意コマンドを実行され、ソースコード、環境変数、認証情報へ影響する可能性があります。
-
9.9
CRITICAL
consul-k8s 0.42.0以降の影響版（告知上限2.0.4、修正版1.8.18・2.1.0）
ACL自動管理が有効な構成で、別のKubernetes名前空間のServiceAccountを作成しトークンを取得でき、Consul APIへ到達可能な攻撃者がコンポーネントのConsul権限を取得する可能性がある。
-
9.8
CRITICAL
Pie Register Premium 3.8.4.0以前
未認証の相手による危険な種類のファイルのアップロードが可能。保存先で実行可能な場合はリモートコード実行につながるおそれがある。
-
9.8
CRITICAL
Jackson Databind 2.10.0〜2.18.11、2.19.0〜2.21.7、2.22.0〜2.22.3、Jackson Databind 3.0.0〜3.1.7、3.2.0〜3.2.3
クラス名に基づく多態的デシリアライズで型引数や配列要素型の検証を回避され、利用可能なクラスや入力経路によって任意のクラスの生成やコード実行につながるおそれがある。
-
9.4
CRITICAL
CPython：3.11.18・3.12.16・3.13.18・3.14.10・3.15.2で対応する各系列
影響するCA鍵を信頼するTLSクライアントでは、通信経路に介入できる攻撃者によるなりすましと通信の改変が問題になる。
-
9.6
CRITICAL
Adobe Commerce／Magento Open Source：APSB26-73の対象版と未適用の月次セキュリティパッチを確認
危険な種類のファイルのアップロード制限不備。Adobeは認証不要・利用者操作ありの条件で権限昇格を評価し、CISAは悪用確認済みとしてKEVへ登録。
-
7.7
HIGH
@modelcontextprotocol/server 2.0.0以上2.3.0未満（HTTPでサーバーまたはステートレス・トランスポートを共有する構成）
複数クライアントが共有するHTTP構成で、応答や通知が別のクライアントへ配送され、ツール結果の漏えいや誤った後続処理につながる可能性があります。
-
6.9
MEDIUM
GROWI v3.2.10〜v8.0.6（ページ表示・コメント機能）、GROWI v4.5.5〜v8.0.6（タグ更新・ページ更新API）、GROWI v7.0.0〜v8.0.6（同時編集機能）
閲覧権限のない本文・コメントの取得や別ページへの保存、閲覧専用ユーザー等による下書き変更のおそれ。CVSSはCVE-2026-115624の値。
-
8.8
HIGH
Consul 2.0.4、Consul Enterprise 2.0.4・1.22.12・1.21.18
ACL有効環境でプロキシと宛先サービスへのservice write権限を持つ認証済み利用者が、mesh write権限なしにEnvoy設定を注入できる。当該プロキシ内のコード実行や通信の参照・改変などにつながる可能性がある。
※悪用の「未確認」は、最終確認時点で悪用の報告が見つかっていないことを示します。悪用されていないことを保証するものではありません。「不明」は公表情報に悪用状況の記載がないものです。
スポンサーリンク