- 2026-01-06
ONLYOFFICE Docsにおけるマルチレベルリスト設定画面で発生するクロスサイトスクリプティングの脆弱性
ONLYOFFICE Docs 9.2.1以前のバージョンでは、マルチレベルリスト設定ウィンドウのフォントフィールドを通じてXSSが発生する可能性があります。この脆弱性はDocumentServerに関連しています。
NVNB413th page
- 2026-01-06
ONLYOFFICE Docsにおけるカラーテーマ名によるクロスサイトスクリプティング（XSS）の脆弱性
ONLYOFFICE Docs 9.2.1以前のバージョンには、カラーテーマ名を介したXSSの脆弱性が存在しており、これはDocumentServerに関連しています。
- 2026-01-06
Giteaの添付ファイルAPIにおけるファイル拡張子検証不備で任意ファイルをアップロードできる脆弱性
Gitea 1.23.0より前のバージョンには、攻撃者が添付ファイルAPIを介して添付ファイル名を編集することで、禁止されたファイル拡張子の添付ファイルを追加できる脆弱性が存在します。
- 2026-01-06
Gitea 1.22.5以前のプルリクエストマージ後にブランチ削除権限が不適切に強制されない脆弱性
Gitea 1.22.5以前では、プルリクエストをマージした後、ブランチ削除権限が十分に適切に強制されていませんでした。
- 2026-01-06
GiteaのAPIトークンにおける認可制御不備による情報漏洩の脆弱性
Gitea 1.22.3以前のバージョンでは、公開リソースに限定されたスコープのAPIトークンを受け取った際に、プライベートリソースへのアクセス制御が不適切に処理されます。
- 2026-01-06
Giteaのタグやブランチ作成機能におけるXSSの脆弱性
Gitea 1.22.2以前のバージョンでは、タグやブランチ作成時の検索入力ボックスがv-textではなくv-htmlを使用しているため、XSS（クロスサイトスクリプティング）が発生する可能性があります。
- 2026-01-06
Giteaのユーザー探索で最終ログイン時刻が漏洩する脆弱性
Gitea 1.21.8以前のバージョンでは、（たとえば）explore/usersのsort orderとしてlastlogintimeを許可することにより、ユーザーの最終ログイン時間が意図せず公開されてしまいます。
- 2026-01-06
Gitea 1.22.2以前のパッケージレジストリにおけるアクセストークンスコープ伝播処理の脆弱性
Gitea 1.22.2以前のバージョンでは、独自のパッケージレジストリの1つにおいて、アクセストークンのスコープ伝播処理が不適切に実施される可能性があります。
- 2026-01-06
Gitea 1.21.2未満における匿名ユーザーによるプライベートプロジェクト不正アクセスの脆弱性
Gitea 1.21.2 未満のバージョンでは、匿名ユーザーがプライベートユーザーのプロジェクトにアクセスできてしまう問題が報告されています。