新着記事

782 件・ 10 / 16 ページ

10/092026

重要 CVE-2026-107722 [重大] fast-jwt: CVE-2026-34950の修正が不完全であるため、空白以外のキープレフィックスが設定されると、RSAからHS256へのアルゴリズムの誤りを引き起こす可能性がある。
GitHub Advisory（critical）

#javascript #node.js
10/092026

CVE-2026-107723 [高] fast-jwt: JWTのペイロードがJSON配列の場合、クレーム検証を回避される脆弱性。
GitHub Advisory（high）

#javascript
10/092026

CVE-2026-107724 [高リスク] fast-jwtにおいて、生の公開JWK（JSON Web Key）をHMACのシークレットとして扱ってしまうため、HS256トークンの偽造が可能となる。
GitHub Advisory（high）

#javascript #node.js
10/092026

CVE-2026-61426 [高] PraisonAI: AgentOSは、デフォルトでネットワークに公開され、認証を必要としないモードで動作するため、認証されていないユーザーがエージェントを呼び出したり、指示内容を閲覧したりできる可能性があります。
GitHub Advisory（high）

#javascript
10/092026

CVE-2026-61442 [高リスク] PraisonAI: プラットフォームのメンバー権限を持つユーザーが、PATCHリクエストを通じて、所有リソースの書き換えやプロジェクトリーダーの再割り当てを回避できる脆弱性。
GitHub Advisory（high）

#python #ssl
10/092026

CVE-2026-61434 [高リスク] PraisonAI: findコマンドの-execオプションによる、シェルコマンドの許可リスト回避の脆弱性。
GitHub Advisory（high）

#javascript #linux #python
10/092026

重要 CVE-2026-61445 [重大] PraisonAI: AICoderにおいて、LLMツール呼び出しを介した任意のファイル書き込みとコマンド実行の脆弱性。
GitHub Advisory（critical）

#python
10/092026

CVE-2026-61427 [高] PraisonAI: MCP HTTPストリームの転送はデフォルトで認証されていないため、ツールの列挙や、検証されていないツール呼び出しの脆弱性が存在する。
GitHub Advisory（high）

#python
10/092026

CVE-2026-60085 [高リスク] PraisonAI: デフォルトのSubprocessSandboxバックエンドでは、SecurityPolicyのコマンド、パス、インポートに関する制限が完全に適用されていません。
GitHub Advisory（high）

#python
10/092026

CVE-2026-60091 [高リスク] PraisonAI: Jobs APIはデフォルトで認証なしであり、攻撃者が制御できるWebhookによるSSRF攻撃を許してしまう。
GitHub Advisory（high）

#python
10/092026

CVE-2026-107392 [重要度：7.5] music-metadataは、オーディオおよびビデオメディアファイルのメタデータを解析するためのツールです。バージョン11.15.0より前のバージョンでは、DSFファイルの解析において…
NVD CVE（HIGH）

#node.js
10/092026

CVE-2026-107391 [重要度：7.5] music-metadataは、オーディオおよびビデオメディアファイルのメタデータを解析するためのツールです。公開されている開発版において…
NVD CVE（HIGH）

#node.js
10/092026

CVE-2026-107390 [重要度：7.5] music-metadataは、オーディオおよびビデオメディアファイルのメタデータを解析するためのツールです。バージョン11.16.0より前のバージョンでは、MP4ファイルの解析において…
NVD CVE（HIGH）

#javascript
10/092026

CVE-2026-107286 [高] Pydantic AI: 並列処理に制限があるモデルは、ストリーミングされたリクエストが途中で終了した場合でも、その状態を維持する可能性があります。
GitHub Advisory（high）

#python
10/092026

CVE-2026-107385 [高リスク] MariaDB Connector/Node.js: セッションがNO_BACKSLASH_ESCAPESオプションを使用している場合、テキストプロトコルにおいてSQLインジェクションの脆弱性が存在します。
GitHub Advisory（high）

#javascript #node.js
10/092026

CVE-2026-107384 [高リスク] MariaDB Connector/Node.js: SET展開におけるオブジェクトキーを介したSQLインジェクションの脆弱性 (permitSetMultiParamEntries)。
GitHub Advisory（high）

#javascript #node.js
10/092026

CVE-2026-107383 [高リスク] MariaDB Connector/Node.jsにおいて、不正なGeoJSONパラメータが原因で、初期化されていないプロセスメモリが外部に公開される脆弱性が存在します。
GitHub Advisory（high）

#javascript #node.js
10/092026

CVE-2026-107378 [高] CairoSVG: 特殊なSVGの`<path>`要素を解析する際に、最悪の場合、二次時間でDoS攻撃を引き起こす可能性がある。
GitHub Advisory（high）

#python
10/092026

CVE-2026-61433 [高] PraisonAI: API デプロイコード生成機能において、エスケープ処理されていない YAML フィールドが Python ソースコードに埋め込まれる脆弱性。
GitHub Advisory（high）

#python
10/092026

CVE-2026-61435 [高] PraisonAI: 偽装されたHostヘッダーを使用した、ローカルホストのみへのアクセス制限を回避するAPI呼び出しの認証バイパス。
GitHub Advisory（high）

#python
10/092026

CVE-2026-107377 [高] datamodel-code-generator: Protobufの脆弱なインポート機能により、一時ディレクトリ以外の場所にファイルが書き込まれる可能性がある。
GitHub Advisory（high）

#python
10/092026

重要 CVE-2026-106446 [重大] Handlebars: コンパイル処理におけるAST（抽象構文木）の型混同によるJavaScriptインジェクションの脆弱性（CVE-2026-33937の回避）。
GitHub Advisory（critical）

#javascript #node.js
10/092026

重要 CVE-2026-106445 [重大] Handlebars: 独自のプロパティチェックを回避することで、JavaScriptインジェクションが可能.
GitHub Advisory（critical）

#javascript
10/092026

CVE-2026-107375 [高] JHipster: JHipsterが生成するリアクティブ（WebFlux + R2DBC）アプリケーションにおいて、パラメータにSQLインジェクションの脆弱性が見つかりました。
GitHub Advisory（high）

#javascript #postgres #python
10/092026

CVE-2026-107303 [高] JHipster: 生成されたアプリケーションにおいて、制限のないBlobコンテンツタイプが同一オリジンとして扱われるため、保存型クロスサイトスクリプティング（XSS）の脆弱性が存在する。
GitHub Advisory（high）

#javascript
10/092026

CVE-2026-107302 [高] msgpack5: map32ヘッダーが切り捨てられた場合に、予期しないエラーが発生する。
GitHub Advisory（high）

#javascript
10/092026

CVE-2026-107300 [高] msgpack5: 多数のバッファリングされた値が、ストリーミングデコーダのスタックを枯渇させる可能性がある。
GitHub Advisory（high）

#javascript
10/092026

CVE-2026-107295 [高リスク] Pydantic AI WebチャットUI (`Agent.to_web()`, `clai web`): 開発者がアクセスしたウェブサイトによって、ローカルのチャットエンドポイントでエージェントの実行やサーバー側のツールの実行がトリガーされる可能性がある。
GitHub Advisory（high）

#python
10/092026

CVE-2026-107212 [高] Excelize: Rows.Columnsにおける行番号の制限がないため、GetRows関数やRowsイテレータが数日間ループし続ける。
GitHub Advisory（high）

#linux #python
10/092026

CVE-2026-61443 [高リスク] PraisonAI: SkillToolsは、パスの検証なしにスクリプトを実行する。
GitHub Advisory（high）

#python
10/092026

CVE-2026-61437 [高] PraisonAI: 不安全な動的モジュール読み込みにより、AgentFlowのtools.pyファイルを通じて、任意のコード実行が可能となる。
GitHub Advisory（high）

#python
10/092026

CVE-2026-61446 [高リスク] PraisonAI: プラグインの自動検出機能により、検証なしに任意のPythonファイルが実行される。
GitHub Advisory（high）

#python
10/092026

重要 CVE-2026-61447 [重大] PraisonAI: CodeAgentは、サンドボックスを使用せずにLLMによって生成されたコードを実行し、環境設定情報をすべて漏洩する。
GitHub Advisory（critical）

#python
10/092026

CVE-2026-61430 [高] PraisonAI: `web_crawl` の SSRF 対策における DNS リバインディング回避により、内部からの応答が外部に漏洩される可能性がある。
GitHub Advisory（high）

#python
10/092026

重要英語・翻訳待ち CVE-2026-107282 [CRITICAL] AsyncHttpClient: Replay to a different host sends the original host request and credentials to the new host
GitHub Advisory（critical）

#ssl
10/092026

PHP 8.6.0 RC3 がテスト用に公開されました。
PHP News

#php
10/082026

Djangoのセキュリティレポートに関するアップデート。
Django Weblog

#django
10/082026

重要 CVE-2015-3306 ProFTPDにおけるアクセス制御の不備に関する脆弱性。
CISA Known Exploited Vulnerabilities
10/082026

重要 CVE-2021-3199：ONLYOFFICE Docs Serverにおけるディレクトリトラバーサル脆弱性。
CISA Known Exploited Vulnerabilities
10/082026

重要 CVE-2023-22894：Strapiにおける機密情報のクリアテキストでの保存に関する脆弱性。
CISA Known Exploited Vulnerabilities
10/082026

重要 CVE-2016-3081 Apache Strutsにおけるコマンドインジェクションの脆弱性。
CISA Known Exploited Vulnerabilities
10/082026

重要 CVE-2015-5477 ISC BIND データ処理エラーの脆弱性。
CISA Known Exploited Vulnerabilities
10/082026

CVE-2026-61439 [高] PraisonAI: 高レベルの脅威に対するプロンプトインジェクション防御が回避される。
GitHub Advisory（high）

#python
10/082026

CVE-2026-105642 [高リスク] Ghost：ブックマークカードの画像を通じて、リモートでのコード実行が可能。
GitHub Advisory（high）

#javascript
10/082026

CVE-2026-105643 [高] Ghost: 埋め込みカードのプレビュー機能における、保存型クロスサイトスクリプティング（XSS）の脆弱性。
GitHub Advisory（high）

#javascript
10/082026

CVE-2026-105744 [高リスク] Doclingにおいて、信頼できないTikZコードをレンダリングする際に、任意のファイル読み書き（および、shell-escapeが有効になっている場合、コマンド実行）の脆弱性が存在します。これは、オプションで有効にするTectonicエンジンに関連しています。
GitHub Advisory（high）

#python
10/082026

重要 CVE-2026-105697 [重大] Langflow: MCP stdioサーバーの設定において、任意のコマンドを介したOSコマンドインジェクション（リモートコード実行）の脆弱性。
GitHub Advisory（critical）

#node.js #python
10/082026

CVE-2026-105649 [高] Ghost: SVGファイルのアップロードを介した、サニタイズ処理を回避する、保存型クロスサイトスクリプティングの脆弱性。
GitHub Advisory（high）

#javascript
10/082026

CVE-2026-105699 [高リスク] Langflowにおいて、認証が必要な状態で、プロジェクトをまたいだファイルが、スコープの制限がないMCPリソースハンドラを通じて開示される脆弱性が存在します。
GitHub Advisory（high）

#python
10/082026

CVE-2026-94483 [高] Next.jsにおいて、画像最適化機能にサーバーサイドのリクエストフォージェリの脆弱性が見つかりました。
GitHub Advisory（high）

#javascript