skip to content
今日の脆弱性
Table of Contents

概要

本日、CVSSスコア9.0を超える深刻な脆弱性が3件公開されました。これらは、認証バイパスや危険なデシリアライゼーションを悪用したリモートコード実行（RCE）につながるものが含まれており、対象製品を使用しているシステムでは早急な対応が求められます。攻撃者が認証なしにシステムを完全に制御する危険性があるため、注意が必要です。

Apache Software Foundation / Apache MINA

  • CVSS: 9.8 / 10 (緊急)
  • CVE: CVE-2026-118636

Apache MINA 3.0のJavaNativeMessageDecoderにおいて、クラスフィルタなしでObjectInputStream.readObject()が呼び出されるため、信頼できないピアに接続されたアプリケーションでリモートコード実行（RCE）に繋がる可能性があります。

anji-plus / AJ-Report

  • CVSS: 9.3 / 10 (緊急)
  • CVE: CVE-2026-120209

AJ-Report 1.7.1までのバージョンでは、ハードコードされたJWTシークレットにより攻撃者がShare-Tokenを偽造でき、未認証の状態でtestTransformエンドポイントを通じてスクリプトをGroovyClassLoaderに渡し、RCEが可能です。

dromara / Jpom

  • CVSS: 9.3 / 10 (緊急)
  • CVE: CVE-2026-120201

Jpom 2.10.0から2.11.12までのバージョンには認証バイパスの脆弱性があり、JPOM-USER-TOKENヘッダーへのクエリ条件注入により未認証の攻撃者がスーパー管理者権限を取得し、コマンドを実行できる可能性があります。

出典