VULNERABILITY
脆弱性情報
Webサイトの運用に関わるソフトウェアの脆弱性情報の一覧です。深刻度（CVSS）・悪用状況・修正状況とあわせて、影響を受ける製品と対応の要点を新しい順に掲載しています。
7件の記事
ARTICLES
脆弱性の一覧
新着順・1〜7件を表示
並べ替え・絞り込み 新着順 / 修正：未提供
-
7.5
HIGH
mews/pos 2.0.0以前のGarantiPos・PayForPos・InterPosの対象コールバック経路、GarantiPos・PayForPosの修正はコミット7c59d42に取り込み済み。InterPosはIssue #306で継続。
未認証の相手が真正性を検証されないコールバックを送り、支払い結果を偽装できるおそれがある。アプリが受信結果に従って注文を確定する場合、未入金で出荷などへ進む可能性がある。
-
8.7
HIGH
Dokploy 0.30.10まで（複数組織を収容し、組織のowner/adminが管理面へアクセスできる構成を優先して確認）
所属組織のowner/adminが他組織のリソースIDを指定し、アプリの環境変数・ビルド設定・配備・停止などを不正操作できる。
-
—
N/A
Amazon Web Services Multi Model Server（MMS）1.1.11以前の全リリース、MMSを含むコンテナ・派生コード：管理インターフェースの到達性を構成ごとに確認
モデルアーカイブの展開で意図したディレクトリー外へ書き込み、MMSプロセス権限でコード実行につながる可能性がある。モデル取得経路では意図しない宛先への要求が可能になる。管理インターフェースは認証を要求せず、ネットワークから到達できる構成でリスクが高まる。
-
—
N/A
PHPのセッションアップロード進捗機能
session.serialize_handlerを設定上php_binaryまたはphp_serializeとし、session_start()前にini_set()でphpへ切り替え、アップロード進捗が有効な特殊な組み合わせでリモートコード実行につながる可能性がある。詳細な影響版とCVSSは未公表。
-
9.2
CRITICAL
PHP
PHP公式は重大な脆弱性2件を予告したが、情報確認時点で攻撃成立条件、影響バージョン、CVE番号は未公表
-
—
N/A
Xerj Console API
有効なXerj APIトークンを持つ攻撃者が、同じ権限水準の独立した永続的な後継資格情報を作成できる。元のトークンを失効しても後継資格情報が残り、所有者トークンの場合は管理権限が持続する可能性がある。
-
—
N/A
Bisheng
※悪用の「未確認」は、最終確認時点で悪用の報告が見つかっていないことを示します。悪用されていないことを保証するものではありません。「不明」は公表情報に悪用状況の記載がないものです。
スポンサーリンク