使っている製品の、危険と対策がわかる。

どんな危険？

スクリプトが実行されると、ページを表示した人のブラウザーで不正な処理が動かされます。

自分は対象？

• 攻撃者は認証されていない状態で攻撃を行います。

• サイトでユーザー登録がオープンである必要があります。

ほか2項目は詳細ページへ

対象の版

CleanTalk Anti-Spam – Complete Spam Protection：6.89.1以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

任意のファイルを読み取られることで、機密情報が漏洩する可能性がある。

自分は対象？

• 攻撃者は認証されていない状態であること。

• 攻撃には有効な purchase_id トークンが必要であること。

ほか3項目は詳細ページへ

対象の版

Music Store – WordPress eCommerce：1.4.7以下

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

想定される影響は脆弱性により異なりますが、次のような可能性があります。 CVE-2023-4863： 細工したファイルをインポートされた場合、ヒープベースのバッファオーバーフローが発生し任意のコードを実行される可能性があります。結果として、内部情報を窃取、改ざん、破壊、削除されたり、当該システムをサービス運用妨害（DoS）状態にされたりする可能性があります。 CVE-2026-16436： システムロックを解除するために使用されるチャレンジレスポンスが全てのユーザーで共通かつ固定値であり、チャレンジレスポンスを入手した遠隔の第三者によって、システムのロックを解除される可能性があります。結果として、内部情報を窃取、改ざん、破壊、削除されたり、当該システムをサービス運用妨害（DoS）状態にされたりする可能性があります。 CVE-2026-16437： PCの管理者権限を持ったユーザによってチャレンジレスポンスを保存している管理ファイルを改ざんされた場合、システムのロックが解除される可能性があります。結果として、内部情報を窃取、改ざん、破壊、削除されたり、当該システムをサービス運用妨害（DoS）状態にされたりする可能性があります。 CVE-2026-16438： PCの管理者権限を持ったユーザによって、DCOMオブジェクトをローカルまたはリモートから起動および操作される可能性があります。結果として、内部情報を窃取、改ざん、破壊、削除されたり、影響を受けるシステムをサービス運用妨害（DoS）状態にされたりする可能性があります。

自分は対象？

• JVNが公表している対象範囲です。 CVE-2023-4863 GENESIS64 10.97から10.97.2まで ICONICS Suite 10.97から10.97.2まで CVE-2026-16436、CVE-2026-16437 GENESIS 11.03およびそれ以前 GENESIS64 10.97.3およびそれ以前 ICONICS Suite 10.97.3およびそれ以前 Hyper Historian 10.97.3およびそれ以前 AnalytiX 10.97.3およびそれ以前 MobileHMI 10.97.3およびそれ以前 IoTWorX 10.97.3およびそれ以前 MC Works64 全バージョン GENESIS32 全バージョン BizViz 全バージョン CVE-2026-16438 GENESIS64 10.97.3およびそれ以前 ICONICS Suite 10.97.3およびそれ以前 Hyper Historian 10.97.3およびそれ以前 AnalytiX 10.97.3およびそれ以前 MobileHMI 10.97.3およびそれ以前 MC Works64 全バージョン

• 利用中の製品名・開発元・版を、この対象範囲と照らし合わせてください。OSや製品の種類、機能の設定、例外の記載がある場合は、番号だけでなくその条件も確認します。自分で判断できない場合は、下の確認メモを管理担当者に渡してください。

対象の版

対象の版番号は取得データにありません。下の確認メモで管理者に確認できます。

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

どんな危険？

製品ごとに、管理情報を見られる、不正な処理を動かされる、機器や通信が止まるなどの問題があります。例えばWinCCはデータベースへの認証済みアクセス、S7のWebサーバーは権限のある利用者のブラウザー操作、IRISは暗号化せず通信できる設定が関係します。同じ危険が20件すべてに当てはまるわけではありません。

自分は対象？

• Meari IoT Cloud Platform OpenAPI Serviceは、設定やdevice shadowデータを権限なく操作できる2件の問題です。サーバー側の修正は全利用者に適用済みと公表され、CloudEdgeアプリは必須の更新が案内されています。

• Kiloview E3 NDI Encoderはfirmware 1.30より前、Industrial Edge App Publisherは1.27.9より前、Siemens Software Centerは4.0.9.8より前です。App Publisherでは通信相手の偽装を経由した不正な処理、Software Centerではログイン済みのローカル利用者が置いたDLLの読み込みが問題です。

ほか14項目は詳細ページへ

対象の版

対象の版番号は取得データにありません。下の確認メモで管理者に確認できます。

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

どんな危険？

オーケストレータおよびオーケストレータが管理するデータの機密性・完全性・可用性が侵害される可能性があります。

自分は対象？

• リモートの攻撃者が VCO に対して攻撃を試みることが前提です。

• 攻撃者は認証済みユーザーである必要があります。

ほか5項目は詳細ページへ

対象の版

VeloCloud Orchestrator：>= 5.2.0 / < 5.2.3.18（環境: VeloCloud Orchestrator On-Prem）VeloCloud Orchestrator：>= 6.1.0 / < 6.1.3.10（環境: VeloCloud Orchestrator On-Prem）VeloCloud Orchestrator：>= 6.4.0 / < 6.4.2.12（環境: VeloCloud Orchestrator On-Prem）

修正版

版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。

記号の読み方：< は未満、<= は以下、>= は以上、> は超える。

どんな危険？

サーバー上で任意のコードが実行される可能性がある。

自分は対象？

• 攻撃者は認証済みの WordPress 管理者である必要がある。

• 対象の JetBackup プラグインのバージョンが 3.1.24.10 未満であること。

ほか3項目は詳細ページへ

対象の版

JetBackup：3.1.24.10未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者はサイトのアカウントを持っていなくても、細工したリンクに利用者を誘導できます。リンクを開いた人のブラウザーで不正な処理が動く問題です。

自分は対象？

• 対象はWPML Multilingual CMSの4.6.1未満です。WordPress本体だけを更新しても、このプラグインの古いバージョンは残ります。

• ログインページの表示言語を指定する値が攻撃に使われます。成立には、利用者が細工されたリンクを開くなどの操作が必要です。

ほか1項目は詳細ページへ

対象の版

WPML Multilingual CMS：4.6.1未満

修正版

4.6.1

どんな危険？

この脆弱性により、攻撃者はデータベースのクエリを操作して情報を抽出でき、サイトの機密情報が漏洩する可能性があります。

自分は対象？

• 攻撃者は認証されていなくても利用可能です。

• 攻撃には配列形式の 'id' パラメータ（例: id[1]）を /wp-json/notificationx/v1/notification/{id} に送信する必要があります。

ほか2項目は詳細ページへ

対象の版

NotificationX：2.0.0以上・2.3.12未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

攻撃者が選んだ PHP ファイルが実行され、サーバー上で任意のコードが動作する可能性があります。

自分は対象？

• 対象製品は WordPress 用の Broadstreet Ad Widget プラグインです。

• 影響を受けるバージョンは 2.2.0 以上 2.12.0 未満です。

ほか5項目は詳細ページへ

対象の版

Ad Widget：2.2.0以上・2.12.0未満

修正版

このデータでは未確認。更新が提供されていない、という意味ではありません。

どんな危険？

データベースの接続情報やWordPressの秘密鍵を含む設定ファイルが流出する可能性があります。漏れた接続情報が別の攻撃に使われるおそれがあります。

自分は対象？

• 対象はプラグインではなく、Javo SpotというWordPressテーマの3.0.0未満です。報告されている攻撃にはログインは不要です。

• 「外観」→「テーマ」でJavo Spotと子テーマの利用状況を確認し、子テーマを使っている場合も親テーマJavo Spotのバージョンを確認してください。

ほか1項目は詳細ページへ

対象の版

Javo Spot：3.0.0未満

修正版

3.0.0

どんな危険？

本来は見せない情報へのアクセスが許可されるおそれがあります。公開情報の評価では、攻撃者のログインは不要です。どの画面・情報まで読めるかの詳しい範囲は公表されていません。

自分は対象？

• 対象はminiOrange製の「Page Restriction WordPress (WP)」（識別名page-and-post-restriction）の1.6.0以前です。似た名前の閲覧制限プラグインと取り違えないようにしてください。

• 会員限定ページなどを、このプラグインだけで保護しているか確認してください。

ほか1項目は詳細ページへ

対象の版

Page Restriction WordPress (WP)：1.6.0以下

修正版

1.6.1

どんな危険？

細工された内容を閲覧した利用者のブラウザーで不正な処理が実行される可能性があります。CVE登録の評価では攻撃者のログインは不要で、被害側の閲覧などの操作が必要とされています。

自分は対象？

• 対象は識別名wp-mailsterの「WP Mailster」で、1.9.1.0以前です。名称が似た別のメール配信プラグインとは区別してください。

• 最初に「WP Mailster」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。

対象の版

WP Mailster：1.9.1.0以下

修正版

1.9.2.0

どんな危険？

公開情報の評価では、ログインしていない攻撃者にも情報を読まれるおそれがあります。この問題について、サイト全体の乗っ取りや情報の書き換えまで確認されたという記載ではありません。

自分は対象？

• 対象はeLightUp製の「Falcon – WordPress Optimizations & Tweaks」（識別名falcon）の2.12.0以前です。

• 最初に「Falcon – WordPress Optimizations & Tweaks」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。

対象の版

Falcon – WordPress Optimizations & Tweaks：2.12.0以下

修正版

2.12.1

どんな危険？

攻撃者が投稿した内容をページに保存させ、後からそのページを開いた利用者や管理者のブラウザーで不正な処理を動かす可能性があります。

自分は対象？

• 対象はWebP Expressの0.25.16未満です。画像のためにHTMLを書き換える処理と、初期設定ではない画像配信モードを使っていることが、報告されている成立条件です。

• 画像最適化の設定を担当者に確認し、利用者が投稿した内容をサイトに保存・表示する機能があるかも確認してください。設定が分からない場合は、対象外と判断せず更新を優先してください。

ほか1項目は詳細ページへ

対象の版

WebP Express：0.25.16未満

修正版

0.25.16

どんな危険？

他人の氏名や表示名を書き換えて、管理者などになりすました表示を作られるおそれがあります。この問題の説明は名前の変更に関するもので、管理者のパスワードや権限を直接奪えるとまでは示していません。

自分は対象？

• 対象はMasterStudy LMSの3.7.13以上、3.7.55未満です。攻撃者はInstructor（講師）の権限を持ち、受講者登録機能を利用する必要があります。

• 講師アカウントを外部の人にも発行しているか、ユーザー一覧から確認してください。管理者1人だけで運用していても、古い版は更新してください。

ほか1項目は詳細ページへ

対象の版

MasterStudy LMS WordPress Plugin：3.7.13以上・3.7.55未満

修正版

3.7.55

どんな危険？

リンクが未公開でもプレビューにはアクセスできるため、管理者の承認を待つ設定だけでは報告された攻撃経路を防げません。プレビューを開く訪問者も影響を受けます。

自分は対象？

• 対象はLink Libraryの7.9.6未満です。攻撃者にはContributor（寄稿者）以上の権限が必要ですが、プレビューを見る側はログインしている必要がありません。

• リンクが承認済み・公開済みであるかを確かめずにプレビューが生成されることも、報告された条件に含まれます。

ほか1項目は詳細ページへ

対象の版

Link Library：7.9.6未満

修正版

7.9.6

どんな危険？

管理者や別の利用者が登録した画像・添付ファイルを削除され、記事の画像欠落やデータ損失につながるおそれがあります。

自分は対象？

• 対象はPhoto Engineプラグイン（識別名wplr-sync）の6.5.8未満です。攻撃者にはAuthor（日本語画面の「投稿者」）以上の権限が必要です。

• 最初に「Photo Engine (Media Organizer & Lightroom)」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。

対象の版

Photo Engine (Media Organizer & Lightroom)：6.5.8未満

修正版

6.5.8

どんな危険？

管理者が写真整理の画面を開いたときに、そのブラウザー上で不正な処理が実行される可能性があります。

自分は対象？

• 対象はPhoto Engine（Media Organizer & Lightroom）の6.5.8未満です。攻撃にはAuthor（投稿者）以上の権限が必要で、名前を保存・表示する処理が問題になります。

• 最初に「Photo Engine (Media Organizer & Lightroom)」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。

対象の版

Photo Engine (Media Organizer & Lightroom)：6.5.8未満

修正版

6.5.8

どんな危険？

初期設定ではリンクの所有者は管理者のため、トークンを入手されるとサイト全体の乗っ取りにつながるおそれがあります。攻撃の前提は有効なトークンを入手していることで、すべての訪問者が無条件で管理者になれるという説明ではありません。

自分は対象？

• 対象はRoyal MCPの1.5.7未満です。プレビュー用のトークンが、そのプレビューだけに使えるよう制限されていないことが問題です。

• AIとの接続担当者に、プレビューリンクを外部の人・公開チャット・共有文書へ渡していないか確認してください。リンクに含まれるトークンは、ここやAIへの相談文に貼り付けないでください。

ほか1項目は詳細ページへ

対象の版

Royal MCP：1.5.7未満

修正版

1.5.7

どんな危険？

非公開の記事・固定ページのタイトル、日時、公開状態、一部の保存内容や、管理者専用の投稿種別・分類設定が漏れるおそれがあります。

自分は対象？

• 対象はMB Custom Post Types & Custom Taxonomies（識別名mb-custom-post-type）の2.4.0以上、2.12.3未満です。Contributor（寄稿者）以上のログイン権限が必要です。

• 下書き・非公開ページに公開前の原稿や顧客情報などを保存していないか、外部の寄稿者がいるかを確認してください。

ほか1項目は詳細ページへ

対象の版

MB Custom Post Types & Custom Taxonomies：2.4.0以上・2.12.3未満

修正版

2.12.3