新着記事

784 件・ 13 / 16 ページ

10/062026

CVE-2026-103921 [高] GraphQL Tools: 従来のGraphQL WebSocket Executorにおいて、TLS証明書の検証が無効になっている。
GitHub Advisory（high）

#javascript #node.js
10/062026

CVE-2026-104852 [高] GraphQL Toolsにおいて、広く利用されているユーティリティ関数`mergeDeep`にプロトタイプ汚染の脆弱性が見つかりました。
GitHub Advisory（high）

#javascript
10/062026

CVE-2026-104851 [高] fsspec: ReferenceFileSystemにおけるサーバーサイドテンプレートインジェクションの脆弱性が、リモートコード実行を可能にする。
GitHub Advisory（high）

#linux #python
10/062026

重要 CVE-2026-103922 [重大] Capacitor (Android および iOS): 内部のHTTPプロキシ経由で、アプリケーションのオリジンからリモートコンテンツを読み込むことができる。
GitHub Advisory（critical）

#javascript
10/062026

GHSA-g2v6-rqmx-r4w6 [高リスク] @vue/server-renderer: 属性名ブラックリストに欠けている改行文字により、クロスサイトスクリプティング（XSS）の脆弱性が存在する。
GitHub Advisory（high）

#javascript
10/062026

重要 CVE-2026-104848 [重大] Tinypool: ワーカーオプションにおけるプロトタイプ汚染の脆弱性が、リモートコード実行を可能にする。
GitHub Advisory（critical）

#javascript #node.js
10/062026

重要 CVE-2026-104849 [重大] Tinypool: run() オプションにおけるプロトタイプ汚染脆弱性を悪用することで、リモートコード実行が可能となる。
GitHub Advisory（critical）

#javascript
10/062026

GHSA-v853-p72q-4cfw [高リスク] Quartが、Body.__await__内のデバッグ出力の誤りにより、生のHTTPリクエストボディ（平文のパスワードを含む）を標準出力に漏洩させている。
GitHub Advisory（high）

#python
10/062026

CVE-2026-104873 [高リスク] LangGraph SDKのカスタム認証機能において、リソースデコレータの`actions=`パラメータが無視される。
GitHub Advisory（high）

#python
10/062026

CVE-2026-92959 [高] vm2: `allowAsync: false` の設定が、VM および NodeVM 内での Promise thenable の同化によって回避される可能性がある。
GitHub Advisory（high）

#javascript #node.js
10/062026

重要 CVE-2026-92955 [重大] vm2: サンドボックスからの脱出 (NodeVM)
GitHub Advisory（critical）

#javascript
10/062026

重要 CVE-2026-92954 [重大] vm2: ホストから返されるPromiseの拒否が、vm2の未処理リジェクション対策を回避し、ホストプロセスを終了させる可能性がある。
GitHub Advisory（critical）

#javascript #node.js
10/062026

重要 CVE-2026-92953 [重大] vm2: デフォルトの仮想マシンは、ホスト側のTypedArrayおよびArrayBufferの内部オブジェクトを、ホストプロトタイプ汚染の修正後も変更する可能性があります。
GitHub Advisory（critical）

#javascript #node.js
10/062026

重要 CVE-2026-92934 [重大] vm2サンドボックスからのエスケープにより、ホスト環境でリモートコード実行（RCE）が可能になる。これは、ホスト環境でラップされたAggregateErrorを再検討し、エラーのサニタイズ処理のショートサーキットを回避することで発生する。
GitHub Advisory（critical）

#javascript
10/062026

CVE-2026-104847 [高] ProseMirrorにおいて、prosemirror-viewのペースト処理にクロスサイトスクリプティング（XSS）の脆弱性が存在します。
GitHub Advisory（high）

#javascript
10/062026

CVE-2026-92942 [高] vm2: FinalizationRegistryのクリーンアップコールバックを介したタイムアウトオプションの回避（ホストイベントループの無限ブロック）。
GitHub Advisory（high）

#javascript #node.js
10/062026

重要 CVE-2026-92946 [重大] vm2: NodeVMの`require.external`機能において、明示的な`require.root`が設定されていない場合、ホストファイルシステムへの制限のないアクセスと、完全なリモートコード実行（RCE）を許してしまう。
GitHub Advisory（critical）

#javascript #node.js
10/062026

重要 CVE-2026-92947 [重大] vm2: サンドボックス化されたコードが、Node.jsの共有バッファプールを介して、ホスト側のメモリを読み書きできる。
GitHub Advisory（critical）

#javascript #node.js
10/062026

重要 CVE-2026-92956 [重大] WebAssemblyのcompileStreaming Promiseにおける、サンドボックスからの脱出の脆弱性。
GitHub Advisory（critical）

#javascript #node.js
10/062026

重要 CVE-2026-9205 [重大] Langflow: `random.seed()` を使用した脆弱な Fernet キー。
GitHub Advisory（critical）

#python
10/062026

重要 CVE-2026-8505 [重大] Langflow: 認証なしで、Webhookの認証を回避することでフローが実行される脆弱性。
GitHub Advisory（critical）

#python
10/062026

CVE-2026-51886 [高] Langflow: 認証が必要なリモートコード実行の脆弱性。悪意のあるデコレータを介して、validate_code関数で発生。詳細。
GitHub Advisory（high）

#python
10/062026

CVE-2026-7700 [高リスク] Langflow: Langflow Smart Transformにおけるプロンプトインジェクションにより、コード実行につながる可能性があります。
GitHub Advisory（high）

#python
10/042026

重要 CVE-2026-88779: Citrix NetScalerにおける、メモリバッファの範囲内での操作の制限が不適切な脆弱性。
CISA Known Exploited Vulnerabilities
10/032026

CVE-2026-104861 [高] probe-image-size: SVGパーサーにおける、二次時間計算に基づくサービス拒否（DoS）の脆弱性。
GitHub Advisory（high）

#javascript #node.js
10/032026

CVE-2026-19481 [高] @fastify/busboyにおいて、プロトタイプ名を持つmultipartパートのヘッダーにより、サービス拒否の脆弱性が存在する。
GitHub Advisory（high）

#javascript #node.js
10/032026

CVE-2026-19484 [高] @fastify/busboyにおいて、multipart boundaryが大きすぎる場合に、サービス拒否の脆弱性が存在する。
GitHub Advisory（high）

#javascript #node.js
10/032026

CVE-2026-71416 [高] Headroom製品において、クロスサイトWebSocketハイジャック（CSWSH）の脆弱性が存在します。
GitHub Advisory（high）

#linux #python
10/032026

重要 CVE-2026-10032 [重大] @a2ui/web_core: `openUrl` 関数は、エージェントが提供するボタンアクションを通じて、`javascript:` URI の実行を許可する。
GitHub Advisory（critical）

#javascript
10/032026

重要 GHSA-v2f8-6655-7grj [重大] Vibe-TradingのFastAPIエンドポイントにおいて、認証なしでのアクセス、ファイルアップロード、およびリモートコード実行（RCE）の脆弱性が存在します。
GitHub Advisory（critical）

#javascript #python
10/032026

GHSA-5rmq-chc7-m22f [重要] Vibe-Tradingのファイル読み込みツールに、任意のサーバー上のファイルが読み取れる脆弱性が見つかりました。
GitHub Advisory（high）

#python
10/032026

重要 GHSA-jqmf-mx4f-hfr6 [重大] Vibe-TradingのLLM（大規模言語モデル）から利用可能なツールには、コマンド実行、コードインジェクション、およびSSRF（サーバーサイドリクエストフォージェリ）の脆弱性がある。
GitHub Advisory（critical）

#python
10/032026

GHSA-9q4r-4842-93vw [高リスク] Trigger.dev: TSQLクエリコンパイラにおける、異なるテナント間でのSQLインジェクションの脆弱性（POST /api/v1/query）。これは、サニタイズされていないウィンドウ関数の名前が原因。
GitHub Advisory（high）

#javascript
10/032026

GHSA-pqxw-g93w-hj9x [高リスク] Trigger.devのセルフホスト環境におけるデフォルトの認証情報の設定により、認証されていない攻撃者がインフラを侵害する可能性がある。
GitHub Advisory（high）

#javascript #postgres
10/032026

CVE-2026-96780 [高] figletは、whitespaceBreakオプションが小さい幅で使用される場合に、無限ループを引き起こすことで、サービス拒否の脆弱性があります。
GitHub Advisory（high）

#javascript #node.js
10/032026

重要 GHSA-gg6r-gp4c-89hp [重大] Trigger.dev: V1コーディネーターのデフォルトシークレットが認証なしでSocket.IOで使用されている。
GitHub Advisory（critical）

#javascript
10/032026

GHSA-pp95-gc86-jq6q [高リスク] Trigger.devにおいて、実行履歴の再生機能に認証が不足しているため、異なる組織のタスクを実行できてしまう（IDOR）。
GitHub Advisory（high）

#javascript
10/032026

GHSA-xxv7-2vv3-h682 [高リスク] Trigger.dev: 未検証のWebhookアラートチャンネルURLを介したサーバーサイドのリクエスト偽装。
GitHub Advisory（high）

#javascript
10/032026

GHSA-qxpp-qjg8-x4jv [高リスク] Trigger.dev: Run replay機能は、攻撃者が指定する環境にタスク実行を注入する（テナント間への書き込み）。
GitHub Advisory（high）

#javascript #postgres
10/032026

GHSA-8mcx-5rqc-vhmf [高リスク] Dulwich: Windows環境において、ツリーパス内の検証されていないドライブレターを悪用した、任意のファイル書き込み（リモートコード実行）の脆弱性。
GitHub Advisory（high）

#linux #python
10/032026

GHSA-8w8g-wq8h-fq33 [高リスク] Dulwich: チェックアウト処理におけるシンボリックリンクの書き込み機能が、raw os.openを使用することで、すべてのシンボリックリンク保護機能を回避する。
GitHub Advisory（high）

#python
10/032026

GHSA-5fqc-mrg8-w798 [高リスク] Dulwich: filter-branchのindex_filterにおいて、クロスコミットの状態保持によりシンボリックリンクを利用したディレクトリトラバーサル脆弱性が存在する。
GitHub Advisory（high）

#python
10/032026

GHSA-cm62-gvxx-vmxx [高リスク] Dulwich: stash pop機能におけるシンボリックリンクのディレクトリトラバーサルにより、中間ディレクトリのシンボリックリンクを介して任意のファイルの書き込みが可能になる。
GitHub Advisory（high）

#python
10/022026

重要注意喚起: NetScaler ADCおよびNetScaler Gatewayにおける複数の脆弱性（CVE-2026-88771、CVE-2026-88772等）に関する注意喚起 (更新)
JPCERT/CC 注意喚起・Weekly Report

#python
10/022026

重要 CVE-2026-102489 Zammad GmbH Zammad セッション固定の脆弱性。
CISA Known Exploited Vulnerabilities
10/022026

重要 CVE-2026-102490 Zammad GmbH Zammad 不適切な権限管理の脆弱性。
CISA Known Exploited Vulnerabilities
10/022026

Python 3.15.0の候補版3がリリースされました！
Python Insider

#linux #python
10/022026

CVE-2023-54404 [高リスク] Zodは、サイズが大きすぎる制約付きコレクションを検証する際に、メモリを使い果たす可能性があります。
GitHub Advisory（high）

#javascript
10/022026

重要 CVE-2026-92948 [重大] vm2: NodeVMの組み込み機能における許可リスト回避。node:test.run()のexecArgvによって、サンドボックスからの脱出が可能となる。
GitHub Advisory（critical）

#javascript #node.js
10/022026

CVE-2026-92950 [高リスク] vm2 CLIはサンドボックスの分離を提供しておらず、サンドボックス化されたスクリプトからホスト環境のrequire()関数にアクセスできてしまう。
GitHub Advisory（high）

#javascript #node.js