ホームページとサーバーの 脆弱性情報

Node.js用node-opcuaにサービス停止の脆弱性

Node.js — CVE-2026-54156

node-opcuaの古い版では、使った非公開の識別情報をため続けるため、不要なデータが増え続けます。攻撃者が接続を繰り返すと、メモリ不足でサーバーが落ちることがあります。

2.166.0へ更新してください。外部からの接続制限も見直し、異常なセッション増加がないか監視し...

Node.js 修正版 2.166.0. くわしく読む →

警告 CVSS 5.3 2026.09.14

MySQL用Froxlorに権限回避の脆弱性

MySQL — CVE-2026-90935

Froxlorの古い版では、MySQLサーバーの選択を十分に確認せず、使ってはいけないサーバーを指定できる問題があります。制限されたサーバーにデータベースやユーザーを作れてしまうおそれがあります。

2.3.7へ更新してください。顧客ごとの許可サーバー設定を見直し、保守会社に設定の確認を依頼し...

MySQL 修正版 2.3.7 くわしく読む →

Joomla用SP Page Builder ProにCAPTCHA回避の脆弱性

Joomla — CVE-2026-79701

SP Page Builder Proの一部機能では、CAPTCHAの結果確認が正しく使われず、特定の値を送ると認証を通過できました。フォームがモジュール内にある場合、設定したCAPTCHAの種類に関係なく影響します。

提供元の修正版へ更新してください。フォームの設置場所とCAPTCHA設定を見直し、必要なら一時的...

Joomla用SP Page Builderにファイル書き込み制限不足の脆弱性

Joomla — CVE-2026-81565

SP Page Builderの古い版では、保存先フォルダの指定が不十分で、サイト内の広い範囲にファイルを書ける問題があります。上位のフォルダまで移動はできませんが、管理用フォルダなどに置かれるおそれがあります。

提供元の修正版へ更新してください。ファイルアップロードの設定を見直し、不要なら機能を止める...

Joomlaのメニュー作成に権限チェック不足の脆弱性

警告 CVSS 5.1 2026.09.14

Joomla — CVE-2026-81566

SP Page Builderで、メニュー項目を作るときの権限確認が不十分です。権限のない利用者でもメニューを作成したり、既存のメニューを書き換えたりできるおそれがあります。

SP Page Builder Free/Proを最新版へ更新してください。更新できない場合は、該当機能の利用を止...

SP Page Builder ProのCAPTCHA回避の脆弱性

Joomla — CVE-2026-79700

お問い合わせや登録フォームのCAPTCHA確認が、保存済み設定ではなく送信内容を信用していました。そのため、攻撃者が確認をすり抜けて送信できる可能性があります。

SP Page Builder Proを最新版へ更新してください。CAPTCHA付きフォームを使っている場合は、動作...

Joomlaのファイル名変更に制限不足の脆弱性

重要 CVSS 7.0 2026.09.14

Joomla — CVE-2026-81564

SP Page Builderで、メディアの名前変更時に保存先の範囲確認が不十分です。別の場所にあるファイルまで名前を変えられ、設定ファイルを書き換えられるおそれがあります。

SP Page Builder Free/Proを最新版へ更新してください。サーバー上の不審なファイル名変更がない...

Joomla用SP Page BuilderにSQLインジェクションの脆弱性

重要 CVSS 8.6 2026.09.14

Joomla — CVE-2026-78375

SP Page Builderの古い版では、投稿内容の一部をそのままデータベース検索に使うため、細工した値で不正な問い合わせを実行できる問題があります。管理権限を持つ攻撃者が、DBの中身を探れるおそれがあります。

提供元の修正版へ更新してください。管理者権限の利用者を絞り、保守会社に更新と監査ログの確認...

multerの中断アップロードでディスクが埋まる脆弱性

警告 CVSS 5.3 2026.09.14

Node.js — CVE-2026-88932

アップロード途中で通信を切ると、残ったファイルが消えずにサーバーへ残ることがあります。何度も繰り返されると、ディスク容量を使い切るおそれがあります。

multerを2.4.0以降へ更新してください。アップロード機能を使っているサーバーでは、空き容量の...

Node.js くわしく読む →

Snippetsに権限付きの保存型XSS脆弱性

Joomla — CVE-2026-88852

記事タグから入る値が、そのまま危険な内容として保存表示されることがあります。信頼されていない投稿者が、不正な処理を混ぜ込める可能性があります。

Snippets Freeは7.0.0以上、Snippets Proは11.0.0以上へ更新してください。記事作成者の権限も見...

Modals Proに権限付きの保存型XSS脆弱性

Joomla — CVE-2026-88853

記事の中に入れたJavaScriptイベントが、十分な確認なしに実行されることがあります。低い権限の投稿者でも、あとから動く不正な処理を仕込めるおそれがあります。

Modals Proを17.0.0以上へ更新してください。低い権限の投稿者にこの記事機能を使わせている場合...

Articles AnywhereとUsers Anywhereの反射型XSS脆弱性

警告 CVSS 5.3 2026.09.14

Joomla — CVE-2026-85196

入力された値を、表示する場面に合わせて安全にしないまま出力することがあります。見た目やURLの中に不正なコードが混ざる可能性があります。

Articles Anywhereは20.0.0以上、Users Anywhereは2.1.0以上へ更新してください。外部から受ける...

Articles Anywhereのリンク設定にXSS脆弱性

Joomla — CVE-2026-85195

リンク設定に入れた onmouseover などが、そのままHTMLのイベント属性として使われることがあります。投稿者の権限確認が弱く、不正な処理を仕込める可能性があります。

Articles Anywhereを20.0.0以上へ更新してください。記事作成者に不要なリンク設定を使わせない...

Tabs & Accordionsのリンク処理にXSS脆弱性

Joomla — CVE-2026-85191

リンク用の値が、HTMLの中で安全に扱われず、そのまま実行コードになり得ます。細工した値で、ページの動きを勝手に変えられる可能性があります。

Tabs & Accordionsを3.1.0以上へ更新してください。リンク設定に不審な値が入っていないかも確認...

Quick Indexのclass設定にXSS脆弱性

Joomla — CVE-2026-85190

設定したclass名が、HTMLの属性として安全に変換されないことがあります。細工した値で、追加の属性を勝手に入れられる可能性があります。

Quick Indexを5.0.5以上へ更新してください。管理画面の設定値に不審な文字列がないか確認し、必...

Regular Labs製品群にDB情報流出の脆弱性

Joomla — CVE-2026-85188

条件設定の編集画面で、別のデータベース項目を参照できてしまうことがあります。許可されていない情報を見られるおそれがあり、SQL注入ではありません。

該当製品をそれぞれ最新版へ更新してください。Advanced Module Manager、Conditional Content、...

Conditional Contentに遠隔コード実行の脆弱性

緊急 CVSS 9.4 2026.09.14

Joomla — CVE-2026-85192

記事内のPHP条件が、書いた人の確認なく実行されることがあります。条件付きの内容を悪用されると、サーバー上で任意の処理が動くおそれがあります。

Conditional Content Proを8.0.0以上へ更新してください。記事にPHP条件を書ける運用をしている...