skip to content
今日の脆弱性
Table of Contents

概要

本日公開された脆弱性情報の中で、特に警戒すべきCritical（CVSSスコア9.0以上）な脆弱性が3件確認されました。これらはいずれもリモートからシステムを完全に制御される危険性があり、速やかな情報収集と対応が求められます。サンドボックスからの脱出によるRCE、ZIPアーカイブ処理の不備によるファイル上書き、そしてOSコマンドインジェクションといった広範な攻撃経路が報告されています。

PrefectHQ / prefab-ui

  • CVSS: 10.0 / 10 (緊急)
  • CVE: CVE-2026-120338

Prefab UIのサンドボックス機能において、信頼できないコードがDenoプロセス内でファイル読み書きやリモートコード実行を可能にする脆弱性です。攻撃者はサーバOSユーザーとしてファイルを操作し、永続的なコード実行を確立する可能性があります。

→ CVE-2026-120338 の詳しい解説と推奨対応はこちら

zip-rs / zip2

  • CVSS: 10.0 / 10 (緊急)
  • CVE: CVE-2026-115905

Rust用zipライブラリに、不正に作成されたアーカイブによってCentral DirectoryとLocal File Headerのファイル名が異なる場合、異なるパスに任意のファイル内容が書き込まれる可能性があります。これにより、ファイル上書きやリモートコード実行につながる危険性があります。

→ CVE-2026-115905 の詳しい解説と推奨対応はこちら

WAVLINK / WN536AX6-A

  • CVSS: 10.0 / 10 (緊急)
  • CVE: CVE-2026-120279

WAVLINK WN536AX6-Aルーターのopenvpn_cliハンドラにおけるfile_id引数の操作により、OSコマンドインジェクションが発生する脆弱性です。認証されていないリモートの攻撃者が任意のOSコマンドを実行し、完全にシステムを制御する可能性があります。

→ CVE-2026-120279 の詳しい解説と推奨対応はこちら

出典