- 2026-01-06
VitestのAPIサーバーにおけるリモートコード実行の脆弱性
VitestはViteをベースとしたテストフレームワークです。影響を受けるバージョンでは、VitestのAPIサーバーがリスニング中にユーザーが悪意のあるウェブサイトにアクセスすると、クロスサイトWebSocketハイジャック（CSWSH）……
JVN iPedia172nd page
- 2026-01-06
Vitestの__screenshot-errorハンドラーにおける任意ファイル読み取りの脆弱性
VitestはViteによって動作するテストフレームワークです。ブラウザモードのHTTPサーバー上の「__screenshot-error」ハンドラーは、ファイルシステム上の任意のファイルに対して応答してしまいます。特に、サーバーが「bro……
- 2026-01-06
WhoDBのデータベース接続URIパラメータインジェクションによるファイル読み取りの脆弱性
WhoDBはオープンソースのデータベース管理ツールです。影響を受けるバージョンでは、アプリケーションがデータベース接続文字列へのパラメータインジェクションに対して脆弱であるため、攻撃者はアプリケーションが実行されているマシン上のローカルファ……
- 2026-01-06
WhoDBにおけるファイルに不正アクセスされる可能性がある脆弱性
WhoDBはオープンソースのデータベース管理ツールです。アプリケーションは、ディレクトリ「/db」に存在するSqlite3データベースのみを表示しますが、パストラバーサル防止策が実装されていません。そのため、認証されていない攻撃者は、アプリ……
- 2026-01-06
D-Link DCS-850LのFirmware Update Serviceに存在するパストラバーサルの脆弱性
D-Link DCS-850L バージョン1.02.09に脆弱性が発見されました。影響を受けるのは Firmware Update Service の uploadfirmware 関数です。DownloadFile 引数を操作することで、……
- 2026-01-06
BPMFlowWebkitにおける認証なしで任意ファイルをアップロードしリモートコード実行が可能となる脆弱性
WELLTEND TECHNOLOGYが開発したBPMFlowWebkitには、任意のファイルをアップロードできる脆弱性が存在しています。この脆弱性により、認証されていないリモートの攻撃者がウェブシェル型のバックドアをアップロードして実行し……
- 2026-01-06
Ruijie RG-RAP2200(E) 247 2200における細工されたPOSTリクエストによりOSコマンドが実行されるおそれがある脆弱性
Ruijie RG-RAP2200(E) 247 2200 には OS コマンドインジェクションの脆弱性が存在し、攻撃者が /usr/local/lua/dev_sta/nbr_cwmp.lua 内の module_set への細工された ……
- 2026-01-06
Revive Adserver におけるユーザー名なりすまし問題により類似文字が許可される脆弱性
Revive Adserverのユーザー名の取り扱いには、修正後も依然としてなりすまし攻撃に対する脆弱性が存在しており、類似文字を用いたなりすましも報告されています。
- 2026-01-06
FastGPTでオープンリダイレクトが発生する脆弱性
FastGPTはAIエージェント構築プラットフォームです。バージョン4.9.12より前のバージョンには、ログインページのLastRouteパラメータにオープンリダイレクトおよびDOMベースのXSSの脆弱性が存在していました。パラメータの検証……
- 2026-01-06
PagerDuty Runbook設定ページにおけるDOM上でのシークレット平文保存による情報漏えいの脆弱性
PagerDuty Runbookは2025年6月12日まで、設定ページのWebページDOM上に保存されたシークレット情報を直接公開していました。これらのシークレットはパスワードフィールドとしてマスクされて表示されますが、実際のシークレット……