Tech Insights
【CVE-2024-50228】Linuxカーネルのshmem_getattr()でデータ競合...
Linuxカーネルの開発チームが、shmem_getattr()関数におけるデータ競合の脆弱性を修正。KCSANテストにより、generic_fillattrとinode_set_ctime_currentの間でデータ競合が発生していることが判明。inode_lock_shared()とinode_unlock_shared()による保護機能を実装し、システムの安全性を確保。この問題は【CVE-2024-50228】として特定されている。
【CVE-2024-50228】Linuxカーネルのshmem_getattr()でデータ競合...
Linuxカーネルの開発チームが、shmem_getattr()関数におけるデータ競合の脆弱性を修正。KCSANテストにより、generic_fillattrとinode_set_ctime_currentの間でデータ競合が発生していることが判明。inode_lock_shared()とinode_unlock_shared()による保護機能を実装し、システムの安全性を確保。この問題は【CVE-2024-50228】として特定されている。
【CVE-2024-50226】Linuxカーネルのcxl/port脆弱性を修正、デコーダーシ...
Linuxカーネルのcxl/portモジュールにuse-after-free脆弱性が発見され、【CVE-2024-50226】として公開された。この脆弱性は、デコーダーのシャットダウン順序に関する問題で、特定の条件下でメモリアクセス違反を引き起こす可能性がある。Linux 6.0以降のバージョンが影響を受けており、修正パッチが複数のバージョン向けにリリースされている。
【CVE-2024-50226】Linuxカーネルのcxl/port脆弱性を修正、デコーダーシ...
Linuxカーネルのcxl/portモジュールにuse-after-free脆弱性が発見され、【CVE-2024-50226】として公開された。この脆弱性は、デコーダーのシャットダウン順序に関する問題で、特定の条件下でメモリアクセス違反を引き起こす可能性がある。Linux 6.0以降のバージョンが影響を受けており、修正パッチが複数のバージョン向けにリリースされている。
【CVE-2024-50244】Linux kernelのNTFS3ファイルシステムに脆弱性、...
kernel.orgは2024年11月9日、Linux kernelのNTFS3ファイルシステムにおけるni_clear()関数の脆弱性に対する修正パッチをリリースした。この修正により、リプレイプロセス中の未初期化ビットマップへのアクセスを防ぐためのNTFS_FLAGS_LOG_REPLAYINGチェックが追加され、5.15系から6.12-rc3まで複数バージョンで対応が行われた。
【CVE-2024-50244】Linux kernelのNTFS3ファイルシステムに脆弱性、...
kernel.orgは2024年11月9日、Linux kernelのNTFS3ファイルシステムにおけるni_clear()関数の脆弱性に対する修正パッチをリリースした。この修正により、リプレイプロセス中の未初期化ビットマップへのアクセスを防ぐためのNTFS_FLAGS_LOG_REPLAYINGチェックが追加され、5.15系から6.12-rc3まで複数バージョンで対応が行われた。
【CVE-2024-50225】Linuxカーネルのbtrfsファイルシステムにエラー伝播の脆...
Linuxカーネル開発チームが2024年11月9日、btrfsファイルシステムにおけるエラー伝播の重大な脆弱性を修正。この問題はCVE-2024-50225として報告され、特にRAID構成やミラーリング機能を使用する環境で、NULLポインタ参照によるシステムクラッシュを引き起こす可能性がある。zoned deviceを使用する環境で再現性が高く、早急な対応が推奨される。
【CVE-2024-50225】Linuxカーネルのbtrfsファイルシステムにエラー伝播の脆...
Linuxカーネル開発チームが2024年11月9日、btrfsファイルシステムにおけるエラー伝播の重大な脆弱性を修正。この問題はCVE-2024-50225として報告され、特にRAID構成やミラーリング機能を使用する環境で、NULLポインタ参照によるシステムクラッシュを引き起こす可能性がある。zoned deviceを使用する環境で再現性が高く、早急な対応が推奨される。
【CVE-2024-50161】LinuxカーネルのBPF機能に脆弱性、btfフィールド処理の...
LinuxカーネルのBPF機能において、btfフィールドの処理に関する重要な脆弱性が発見された。この脆弱性は入れ子構造体の配列処理時にinfo_cntの確認が不足していることで発生し、array-index-out-of-boundsエラーを引き起こす可能性がある。影響を受けるバージョンは64e8ee814819から6f957d972feeまでで、6.11.6以降のバージョンで修正パッチが適用されている。
【CVE-2024-50161】LinuxカーネルのBPF機能に脆弱性、btfフィールド処理の...
LinuxカーネルのBPF機能において、btfフィールドの処理に関する重要な脆弱性が発見された。この脆弱性は入れ子構造体の配列処理時にinfo_cntの確認が不足していることで発生し、array-index-out-of-boundsエラーを引き起こす可能性がある。影響を受けるバージョンは64e8ee814819から6f957d972feeまでで、6.11.6以降のバージョンで修正パッチが適用されている。
【CVE-2024-47456】Adobe Illustrator 28.7.1以前にOOB読...
Adobe Illustrator 28.7.1以前のバージョンにおいて、機密メモリの開示につながる可能性のあるOut-Of-Bounds読み取りの脆弱性が発見された。CVSSスコア5.5のミディアムリスクと評価されており、攻撃者がASLRなどの保護機能をバイパスできる可能性がある。攻撃には悪意のあるファイルを開くというユーザーの操作が必要となるため、信頼できない送信元からのファイルは開かないよう注意が必要だ。
【CVE-2024-47456】Adobe Illustrator 28.7.1以前にOOB読...
Adobe Illustrator 28.7.1以前のバージョンにおいて、機密メモリの開示につながる可能性のあるOut-Of-Bounds読み取りの脆弱性が発見された。CVSSスコア5.5のミディアムリスクと評価されており、攻撃者がASLRなどの保護機能をバイパスできる可能性がある。攻撃には悪意のあるファイルを開くというユーザーの操作が必要となるため、信頼できない送信元からのファイルは開かないよう注意が必要だ。
【CVE-2024-11097】Student Record Management Syste...
SourceCodester Student Record Management System 1.0のMain Menuコンポーネントに無限ループの脆弱性が発見された。CVE-2024-11097として識別されるこの脆弱性は、CVSSスコア4.8でMedium評価とされており、ローカル環境での攻撃が可能。既にexploitが公開されており、教育機関での学生情報管理に支障をきたす可能性があるため、早急な対応が求められる。
【CVE-2024-11097】Student Record Management Syste...
SourceCodester Student Record Management System 1.0のMain Menuコンポーネントに無限ループの脆弱性が発見された。CVE-2024-11097として識別されるこの脆弱性は、CVSSスコア4.8でMedium評価とされており、ローカル環境での攻撃が可能。既にexploitが公開されており、教育機関での学生情報管理に支障をきたす可能性があるため、早急な対応が求められる。
SolanaのRPCプロバイダERPCがBDLCホルダー向け無料優待プランを発表、月額€42の...
ELSOUL LABO B.V.とValidators DAOが運営するSolanaのグローバルRPCプロバイダ「ERPC」が、BDLCホルダー向けの無料優待プランを発表した。通常月額€42のDeveloperプランが無料で利用可能となり、世界300箇所以上のエッジサーバーを活用した高速なアクセスやGeyser、DAS API、Jupiter APIなど多様な要件に対応したサービスを提供している。
SolanaのRPCプロバイダERPCがBDLCホルダー向け無料優待プランを発表、月額€42の...
ELSOUL LABO B.V.とValidators DAOが運営するSolanaのグローバルRPCプロバイダ「ERPC」が、BDLCホルダー向けの無料優待プランを発表した。通常月額€42のDeveloperプランが無料で利用可能となり、世界300箇所以上のエッジサーバーを活用した高速なアクセスやGeyser、DAS API、Jupiter APIなど多様な要件に対応したサービスを提供している。
東急がSHIBUYA WayPを2025年4月に開業、北谷公園前に多様な働き方に対応したフレキ...
東急株式会社が渋谷区神南一丁目エリアに新築ビル「SHIBUYA WayP」を2025年4月に開業する。地上10階建ての施設は、1名から19名用までの多様なフレキシブルオフィス区画を提供し、テレカンブース18室や会議室6室も完備。Park-PFI制度を活用した北谷公園との連携も特徴で、自然を感じられる環境での新しい働き方を提案する。
東急がSHIBUYA WayPを2025年4月に開業、北谷公園前に多様な働き方に対応したフレキ...
東急株式会社が渋谷区神南一丁目エリアに新築ビル「SHIBUYA WayP」を2025年4月に開業する。地上10階建ての施設は、1名から19名用までの多様なフレキシブルオフィス区画を提供し、テレカンブース18室や会議室6室も完備。Park-PFI制度を活用した北谷公園との連携も特徴で、自然を感じられる環境での新しい働き方を提案する。
明日香出版社が起業家向け新刊を発売、フリーウェイジャパン代表の実践的な経営戦略を解説
明日香出版社は2024年11月13日に『決定版 失敗しない起業家の戦い方』を発売した。株式会社フリーウェイジャパン代表取締役の井上達也氏が、29歳でゼロから起業し55万ユーザーを抱える国内最大級の業務系クラウドシステムメーカーに成長させた経験をもとに、起業における現実的な課題とリスク管理について解説している。
明日香出版社が起業家向け新刊を発売、フリーウェイジャパン代表の実践的な経営戦略を解説
明日香出版社は2024年11月13日に『決定版 失敗しない起業家の戦い方』を発売した。株式会社フリーウェイジャパン代表取締役の井上達也氏が、29歳でゼロから起業し55万ユーザーを抱える国内最大級の業務系クラウドシステムメーカーに成長させた経験をもとに、起業における現実的な課題とリスク管理について解説している。
【CVE-2024-42000】Mattermost 9.10.x-10.0.0で認証の脆弱性...
Mattermost社が複数バージョンにおける認証の脆弱性【CVE-2024-42000】を公開。ReadGroups権限を持つユーザーやシステムマネージャーが、アクセス権のないプライベートチャンネルの詳細情報を閲覧可能な状態となっていた。CVSSスコアは2.7（Low）と評価されており、9.10.3、9.11.2、9.5.10、10.0.1への更新で対応が可能となっている。
【CVE-2024-42000】Mattermost 9.10.x-10.0.0で認証の脆弱性...
Mattermost社が複数バージョンにおける認証の脆弱性【CVE-2024-42000】を公開。ReadGroups権限を持つユーザーやシステムマネージャーが、アクセス権のないプライベートチャンネルの詳細情報を閲覧可能な状態となっていた。CVSSスコアは2.7（Low）と評価されており、9.10.3、9.11.2、9.5.10、10.0.1への更新で対応が可能となっている。
【CVE-2024-37179】SAP BusinessObjects BIプラットフォームに...
SAPは2024年10月8日、SAP BusinessObjects Business Intelligence Platform（Web Intelligence）において重大な脆弱性を公開した。認証済みユーザーが特別に細工されたリクエストを送信することで、サービスをホストしているマシンから任意のファイルをダウンロードできる問題が発見され、CVSS v3.1で7.7（High）と評価された。影響を受けるバージョンはENTERPRISE 420、430、2025、およびENTERPRISECLIENTTOOLS 420。
【CVE-2024-37179】SAP BusinessObjects BIプラットフォームに...
SAPは2024年10月8日、SAP BusinessObjects Business Intelligence Platform（Web Intelligence）において重大な脆弱性を公開した。認証済みユーザーが特別に細工されたリクエストを送信することで、サービスをホストしているマシンから任意のファイルをダウンロードできる問題が発見され、CVSS v3.1で7.7（High）と評価された。影響を受けるバージョンはENTERPRISE 420、430、2025、およびENTERPRISECLIENTTOOLS 420。
【CVE-2024-10958】WP Photo Album Plus 8.8.08.007に...
WordPressプラグインWP Photo Album Plus 8.8.08.007以前のバージョンに、認証なし任意ショートコード実行の脆弱性が発見された。CVSSスコア7.3のHigh深刻度と評価され、getshortcodedrenderedfenodelay AJAX経由での攻撃が可能。認証不要でネットワーク経由の攻撃が可能なため、早急なアップデートが推奨される。
【CVE-2024-10958】WP Photo Album Plus 8.8.08.007に...
WordPressプラグインWP Photo Album Plus 8.8.08.007以前のバージョンに、認証なし任意ショートコード実行の脆弱性が発見された。CVSSスコア7.3のHigh深刻度と評価され、getshortcodedrenderedfenodelay AJAX経由での攻撃が可能。認証不要でネットワーク経由の攻撃が可能なため、早急なアップデートが推奨される。
【CVE-2024-10695】WordPressプラグインFuturio Extra 2.0...
WordPressプラグインFuturio Extra 2.0.13以前のバージョンで深刻な情報漏洩の脆弱性が発見された。elementor-templateショートコードの実装における権限チェックの不備により、Contributor以上の権限を持つユーザーが非公開記事や下書き記事の内容を閲覧可能になっている。CVSSスコアは4.3（MEDIUM）と評価され、早急な対応が求められている。
【CVE-2024-10695】WordPressプラグインFuturio Extra 2.0...
WordPressプラグインFuturio Extra 2.0.13以前のバージョンで深刻な情報漏洩の脆弱性が発見された。elementor-templateショートコードの実装における権限チェックの不備により、Contributor以上の権限を持つユーザーが非公開記事や下書き記事の内容を閲覧可能になっている。CVSSスコアは4.3（MEDIUM）と評価され、早急な対応が求められている。
【CVE-2024-47783】SIPORTのV3.4.0未満に特権昇格の脆弱性、インストール...
Siemens社のSIPORTにおいて、V3.4.0未満の全バージョンに特権昇格の脆弱性が発見された。インストールフォルダの権限設定が不適切であり、非特権アカウントによるサービス実行ファイルの改変が可能な状態。CVSSスコアは3.1で7.8、4.0で8.5と高い深刻度を示しており、早急なV3.4.0へのアップデートが推奨される。
【CVE-2024-47783】SIPORTのV3.4.0未満に特権昇格の脆弱性、インストール...
Siemens社のSIPORTにおいて、V3.4.0未満の全バージョンに特権昇格の脆弱性が発見された。インストールフォルダの権限設定が不適切であり、非特権アカウントによるサービス実行ファイルの改変が可能な状態。CVSSスコアは3.1で7.8、4.0で8.5と高い深刻度を示しており、早急なV3.4.0へのアップデートが推奨される。
【CVE-2024-47452】Adobe Illustrator 28.7.1に深刻な脆弱性...
Adobeは2024年11月12日、Illustrator 28.7.1以前のバージョンに影響を与える深刻な脆弱性【CVE-2024-47452】を公開した。境界外書き込みの問題により、攻撃者が細工したファイルを開かせることで任意のコード実行が可能となる。CVSSスコアは7.8と高い値を示しており、早急な対応が求められている。
【CVE-2024-47452】Adobe Illustrator 28.7.1に深刻な脆弱性...
Adobeは2024年11月12日、Illustrator 28.7.1以前のバージョンに影響を与える深刻な脆弱性【CVE-2024-47452】を公開した。境界外書き込みの問題により、攻撃者が細工したファイルを開かせることで任意のコード実行が可能となる。CVSSスコアは7.8と高い値を示しており、早急な対応が求められている。
【CVE-2024-45147】Adobe Bridge 13.0.9、14.1.2以前に範囲...
Adobe Bridgeの13.0.9、14.1.2以前のバージョンに範囲外読み取りの脆弱性が発見された。この脆弱性は機密メモリの漏洩を引き起こす可能性があり、攻撃者がASLRなどの保護機能をバイパスするために利用される危険性がある。CVSSスコアは5.5で中程度の深刻度とされ、攻撃には被害者が悪意のあるファイルを開く必要がある。セキュリティ対策の強化が求められる。
【CVE-2024-45147】Adobe Bridge 13.0.9、14.1.2以前に範囲...
Adobe Bridgeの13.0.9、14.1.2以前のバージョンに範囲外読み取りの脆弱性が発見された。この脆弱性は機密メモリの漏洩を引き起こす可能性があり、攻撃者がASLRなどの保護機能をバイパスするために利用される危険性がある。CVSSスコアは5.5で中程度の深刻度とされ、攻撃には被害者が悪意のあるファイルを開く必要がある。セキュリティ対策の強化が求められる。
【CVE-2024-46888】SINEC INSにパストラバーサルの脆弱性、認証済み攻撃者に...
Siemens社のSINEC INSにおいて、SFTPベースのファイルアップロードおよびダウンロードに関するパストラバーサル脆弱性が発見された。V1.0 SP2 Update 3未満の全バージョンが影響を受け、認証済みのリモート攻撃者による任意のコード実行が可能となる。CVSS v3.1で9.9、CVSS v4.0で9.4のCriticalレベルに分類されており、早急な対応が求められている。
【CVE-2024-46888】SINEC INSにパストラバーサルの脆弱性、認証済み攻撃者に...
Siemens社のSINEC INSにおいて、SFTPベースのファイルアップロードおよびダウンロードに関するパストラバーサル脆弱性が発見された。V1.0 SP2 Update 3未満の全バージョンが影響を受け、認証済みのリモート攻撃者による任意のコード実行が可能となる。CVSS v3.1で9.9、CVSS v4.0で9.4のCriticalレベルに分類されており、早急な対応が求められている。
【CVE-2024-10672】Multiple Page Generator Plugin ...
WordfenceはWordPress用プラグインMultiple Page Generator Plugin – MPGにおいて、バージョン4.0.2以前に認証済みディレクトリトラバーサルによる任意のファイル削除の脆弱性が存在することを公開した。エディターレベル以上の権限を持つ攻撃者がサーバー上の特定のファイルを削除できる可能性があり、早急な対応が必要となっている。
【CVE-2024-10672】Multiple Page Generator Plugin ...
WordfenceはWordPress用プラグインMultiple Page Generator Plugin – MPGにおいて、バージョン4.0.2以前に認証済みディレクトリトラバーサルによる任意のファイル削除の脆弱性が存在することを公開した。エディターレベル以上の権限を持つ攻撃者がサーバー上の特定のファイルを削除できる可能性があり、早急な対応が必要となっている。
【CVE-2024-29211】Ivanti Secure Access Client 22....
Ivantiは同社のSecure Access Clientにおいて、バージョン22.7R4未満の製品に設定ファイルの改変が可能となる脆弱性【CVE-2024-29211】を確認した。CVSSスコア7.1のHigh評価で、ローカルの認証済み攻撃者による設定ファイルの改変が可能となる。影響を受ける可能性のあるユーザーには、バージョン22.7R4への速やかなアップデートが推奨されている。
【CVE-2024-29211】Ivanti Secure Access Client 22....
Ivantiは同社のSecure Access Clientにおいて、バージョン22.7R4未満の製品に設定ファイルの改変が可能となる脆弱性【CVE-2024-29211】を確認した。CVSSスコア7.1のHigh評価で、ローカルの認証済み攻撃者による設定ファイルの改変が可能となる。影響を受ける可能性のあるユーザーには、バージョン22.7R4への速やかなアップデートが推奨されている。
【CVE-2024-25431】wasm-micro-runtimeに特権昇格の脆弱性、深刻度...
bytecodealliance wasm-micro-runtimeのv.b3f728c以前のバージョンに特権昇格の脆弱性が発見された。check_was_abi_compatibility関数に対する細工されたファイルを通じて攻撃が可能で、CVSS評価は8.8（High）と高い深刻度が付与されている。CWE-125として分類され、自動化された攻撃の可能性も指摘されており、早急な対応が推奨される。
【CVE-2024-25431】wasm-micro-runtimeに特権昇格の脆弱性、深刻度...
bytecodealliance wasm-micro-runtimeのv.b3f728c以前のバージョンに特権昇格の脆弱性が発見された。check_was_abi_compatibility関数に対する細工されたファイルを通じて攻撃が可能で、CVSS評価は8.8（High）と高い深刻度が付与されている。CWE-125として分類され、自動化された攻撃の可能性も指摘されており、早急な対応が推奨される。
【CVE-2024-24117】Ruijie RG-NBS2009G-P RGOSに権限昇格の...
MITREは2024年10月2日、Ruijie RG-NBS2009G-P RGOS v.10.4(1)P2 Release (9736)にログインチェック状態コンポーネントを介した権限昇格の脆弱性が存在することを公開した。この脆弱性は【CVE-2024-24117】として識別され、リモート攻撃者による権限取得が可能となる。CISAの評価では技術的影響が部分的で自動化された攻撃が可能とされており、早急な対応が必要とされている。
【CVE-2024-24117】Ruijie RG-NBS2009G-P RGOSに権限昇格の...
MITREは2024年10月2日、Ruijie RG-NBS2009G-P RGOS v.10.4(1)P2 Release (9736)にログインチェック状態コンポーネントを介した権限昇格の脆弱性が存在することを公開した。この脆弱性は【CVE-2024-24117】として識別され、リモート攻撃者による権限取得が可能となる。CISAの評価では技術的影響が部分的で自動化された攻撃が可能とされており、早急な対応が必要とされている。
【CVE-2024-36250】Mattermost 9.11.xと9.5.xでMFAコードの...
Mattermost社が9.11.xおよび9.5.xシリーズにおいて、MFAコードの再利用を可能とする脆弱性【CVE-2024-36250】を公開。約30秒以内のMFAコードリプレイ攻撃が可能な状態であることが判明。CWE-303に分類され、CVSSスコアは3.1（Low）。Mattermost 10.1.0、9.11.3、9.5.11で修正済み。DoyenSecにより発見された本脆弱性に対し、迅速なセキュリティアップデートを実施。
【CVE-2024-36250】Mattermost 9.11.xと9.5.xでMFAコードの...
Mattermost社が9.11.xおよび9.5.xシリーズにおいて、MFAコードの再利用を可能とする脆弱性【CVE-2024-36250】を公開。約30秒以内のMFAコードリプレイ攻撃が可能な状態であることが判明。CWE-303に分類され、CVSSスコアは3.1（Low）。Mattermost 10.1.0、9.11.3、9.5.11で修正済み。DoyenSecにより発見された本脆弱性に対し、迅速なセキュリティアップデートを実施。
【CVE-2024-46955】Ghostscriptに境界外読み取りの脆弱性、バージョン10...
Artifex GhostscriptのIndexedカラースペース処理において境界外読み取りの脆弱性が発見された。CVSSスコア5.5（MEDIUM）と評価されるこの脆弱性は、psi/zcolor.cファイル内で発生し、システムの可用性に影響を与える可能性がある。Artifexは対策としてバージョン10.04.0でセキュリティパッチを提供しており、ユーザーに更新を推奨している。
【CVE-2024-46955】Ghostscriptに境界外読み取りの脆弱性、バージョン10...
Artifex GhostscriptのIndexedカラースペース処理において境界外読み取りの脆弱性が発見された。CVSSスコア5.5（MEDIUM）と評価されるこの脆弱性は、psi/zcolor.cファイル内で発生し、システムの可用性に影響を与える可能性がある。Artifexは対策としてバージョン10.04.0でセキュリティパッチを提供しており、ユーザーに更新を推奨している。
【CVE-2024-46951】Artifex Ghostscript 10.04.0未満に脆...
Artifex GhostscriptのPattern色空間における実装ポインタの未チェックに起因する脆弱性が発見された。CVE-2024-46951として識別されるこの脆弱性は、psi/zcolor.cファイル内に存在し、任意のコード実行を許可してしまう可能性がある。CVSSスコアは7.8（HIGH）で、機密性・完全性・可用性すべてに高い影響を及ぼす可能性があるため、早急な対応が必要とされている。
【CVE-2024-46951】Artifex Ghostscript 10.04.0未満に脆...
Artifex GhostscriptのPattern色空間における実装ポインタの未チェックに起因する脆弱性が発見された。CVE-2024-46951として識別されるこの脆弱性は、psi/zcolor.cファイル内に存在し、任意のコード実行を許可してしまう可能性がある。CVSSスコアは7.8（HIGH）で、機密性・完全性・可用性すべてに高い影響を及ぼす可能性があるため、早急な対応が必要とされている。
【CVE-2024-45309】OneDev 11.0.9未満に認証回避の脆弱性、未認証ユーザ...
GitサーバーとCI/CD機能を提供するOneDevにおいて、バージョン11.0.9未満に深刻な認証回避の脆弱性が発見された。未認証ユーザーによる任意のファイル読み取りが可能となる問題が確認されており、CVSSスコア8.7（HIGH）と高い危険性が指摘されている。開発チームは直ちにバージョン11.0.9で修正を実施したが、早急なアップデートの適用が推奨される。
【CVE-2024-45309】OneDev 11.0.9未満に認証回避の脆弱性、未認証ユーザ...
GitサーバーとCI/CD機能を提供するOneDevにおいて、バージョン11.0.9未満に深刻な認証回避の脆弱性が発見された。未認証ユーザーによる任意のファイル読み取りが可能となる問題が確認されており、CVSSスコア8.7（HIGH）と高い危険性が指摘されている。開発チームは直ちにバージョン11.0.9で修正を実施したが、早急なアップデートの適用が推奨される。
【CVE-2024-5982】gaizhenbiao/chuanhuchatgptのパストラバ...
gaizhenbiao/chuanhuchatgptの最新バージョンにおいて、ユーザーアップロードやディレクトリ作成機能に深刻なパストラバーサルの脆弱性が発見された。CVSSスコア9.1と評価される本脆弱性は、load_chat_history関数での任意のファイルアップロード、get_history_names関数での任意のディレクトリ作成、load_template関数でのCSVファイル漏洩の可能性など、複数の重要機能に影響を及ぼす。
【CVE-2024-5982】gaizhenbiao/chuanhuchatgptのパストラバ...
gaizhenbiao/chuanhuchatgptの最新バージョンにおいて、ユーザーアップロードやディレクトリ作成機能に深刻なパストラバーサルの脆弱性が発見された。CVSSスコア9.1と評価される本脆弱性は、load_chat_history関数での任意のファイルアップロード、get_history_names関数での任意のディレクトリ作成、load_template関数でのCSVファイル漏洩の可能性など、複数の重要機能に影響を及ぼす。
【CVE-2024-51608】WordPressプラグインAmaDiscountにSQLイン...
WordPressプラグインのAmaDiscountにおいて、SQLインジェクションの脆弱性が発見された。CVE-2024-51608として識別されたこの脆弱性は、バージョン1.0以下に影響を与え、CVSSスコア8.5の高リスク評価を受けている。低い特権レベルでリモートからの攻撃が可能であり、ユーザー操作を必要としない点から、早急なセキュリティアップデートが求められている。
【CVE-2024-51608】WordPressプラグインAmaDiscountにSQLイン...
WordPressプラグインのAmaDiscountにおいて、SQLインジェクションの脆弱性が発見された。CVE-2024-51608として識別されたこの脆弱性は、バージョン1.0以下に影響を与え、CVSSスコア8.5の高リスク評価を受けている。低い特権レベルでリモートからの攻撃が可能であり、ユーザー操作を必要としない点から、早急なセキュリティアップデートが求められている。
【CVE-2024-51484】Ampache 7.0.1未満でCSRF脆弱性を発見、管理者機...
Ampacheの音声・動画ストリーミングアプリケーションにおいて、コントローラーの有効化・無効化機能にCSRF脆弱性が発見された。CVSSスコア5.3（MEDIUM）で評価され、管理者権限での認証は必要だがユーザーの関与なく攻撃が可能とされている。開発チームは7.0.1へのアップグレードを推奨しており、現時点で他の回避策は存在しない。
【CVE-2024-51484】Ampache 7.0.1未満でCSRF脆弱性を発見、管理者機...
Ampacheの音声・動画ストリーミングアプリケーションにおいて、コントローラーの有効化・無効化機能にCSRF脆弱性が発見された。CVSSスコア5.3（MEDIUM）で評価され、管理者権限での認証は必要だがユーザーの関与なく攻撃が可能とされている。開発チームは7.0.1へのアップグレードを推奨しており、現時点で他の回避策は存在しない。
【CVE-2024-50634】Watcharr v1.43.0のJWTトークン脆弱性が発覚、...
Watcharr v1.43.0以下のバージョンにおいて、JWTトークンに関する重大な脆弱性が発見された。CVE-2024-50634として識別されたこの脆弱性は、攻撃者による特権昇格を可能にし、認証を必要とする全機能に影響を及ぼす。CVSSスコアは8.8（HIGH）と評価され、ネットワークからの攻撃が可能で、攻撃条件の複雑さも低いことが判明している。
【CVE-2024-50634】Watcharr v1.43.0のJWTトークン脆弱性が発覚、...
Watcharr v1.43.0以下のバージョンにおいて、JWTトークンに関する重大な脆弱性が発見された。CVE-2024-50634として識別されたこの脆弱性は、攻撃者による特権昇格を可能にし、認証を必要とする全機能に影響を及ぼす。CVSSスコアは8.8（HIGH）と評価され、ネットワークからの攻撃が可能で、攻撃条件の複雑さも低いことが判明している。