CVE-2026-57517CVSS 9.8 超危険2026-07-02
Control Web Panel の SQL インジェクションによりリモートコード実行に至る
Control Web Panel の 0.9.8.1225 より前のバージョンでは、user 端点が userRes の POST 引数に対する絞り込みを欠いているため、ブラインド SQL インジェクション（CWE-89）というセキュリティ上の欠陥が存在します。未認証の遠隔攻撃者は悪意ある入力を送って任意の SQL クエリを実行し、得られた MySQL の root 権限を用いて INTO DUMPFILE により任意のファイルを書き込み、アクセス可能な roundcube のログディレクトリへ PHP ウェブシェルを設置して、cwpsvc アカウントの権限でリモートコード実行を実現できます。本脆弱性は 0.9.8.1225 へ更新していないすべての利用者に影響します。攻撃者は認証なしに遠隔から攻撃でき、悪用の複雑さは低く、サーバーの完全な掌握に直結します。
コンポーネント
Control Web Panel は Linux サーバー向けのオープンソースの管理パネルで、ウェブサイト、データベース、メールなどのサービス管理機能を提供します。
リスク
- システムの完全な制御：攻撃者は被害者のシステム上で任意のコードを実行でき、cwpsvc アカウントの権限に応じてプログラムの導入、データの閲覧・改変・削除、完全な権限を持つ新規アカウントの作成が可能になります
- 認証を要しない攻撃：攻撃者は資格情報なしに遠隔から脆弱性を発火でき、悪意ある HTTP 要求を組み立てるだけでコード実行を実現します
- 持続的なアクセス：ログディレクトリへウェブシェルを書き込むことで、攻撃者はサーバーへの長期的で持続的なアクセス権を得ます
出典
対処方法- Control Web Panel を直ちに 0.9.8.1225 以降へ更新してください
- user 端点へのアクセス権限を限定し、厳格な入力検証と絞り込みを実施してください
- MySQL のログとファイルシステムへの異常な書き込み、とりわけログディレクトリへの変更を監視してください
CVE-2026-24270CVSS 9.8 超危険2026-07-02
NVIDIA AIStore の認証回避によりサービス拒否、権限昇格、情報漏洩、データ改竄に至る
NVIDIA AIStore フレームワークでは、認証機構の欠陥により攻撃者が認証を回避できる可能性があります（CWE-290）。悪用に成功すると、サービス拒否、権限昇格、情報漏洩、データ改竄に至る恐れがあります。本脆弱性は有効な資格情報なしにシステム資源へアクセスすることを許し、データの完全性と可用性を著しく脅かします。修正を適用していないすべての NVIDIA AIStore の配備環境が影響を受けます。攻撃者はネットワーク経由で遠隔から攻撃でき、利用者の操作を必要とせず悪用でき、攻撃の複雑さも比較的低いものです。
コンポーネント
NVIDIA AIStore は AI のワークロード向けに設計された高性能な分散オブジェクトストレージのフレームワークで、大規模なデータ保存と高速アクセスに対応します。
リスク
- 権限昇格：攻撃者は認証を回避して未認可のアクセス権を得たうえ、さらに権限を昇格させてシステムを制御できます
- データの改竄と漏洩：攻撃者は機微情報を読み取り、あるいは保存データを改変してデータの完全性を損ないます
- サービス拒否：攻撃者は本脆弱性を用いてサービスを停止させ、業務の継続性に影響を与えられます
- 操作を要しない遠隔攻撃：攻撃者はネットワーク接続のみで脆弱性を発火でき、対象の利用者に何らかの操作をさせる必要がありません
出典
対処方法- ネットワーク層で AIStore サービスへのアクセスを限定し、信頼できる IP アドレスからの接続のみを許可してください
- 強固な認証機構を有効にし、異常なログイン試行を監視してください
パッケージ汚染npm2026-07-02
hardhat-compile-ethers@0.4.7 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
90c6e1e9761ce2649931596e0b0fdc0c
パッケージ汚染npm2026-07-02
svgson-lite@1.0.1 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
d2a9d6cb8c2c8d3c5d3577478191ec0c
パッケージ汚染npm2026-07-02
polymarket-toolkit@1.4.9 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
4119e0252812f38cc94095ac510b3efa
パッケージ汚染npm2026-07-02
polymarket-trading-developer-tool@0.1.1 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
7556468a534868cca255febaab3349f3
パッケージ汚染npm2026-07-02
svgcraft-core@1.0.2 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
6af27c36682b37db28802e246132b9b2
パッケージ汚染npm2026-07-02
test-pkg-pnpm@1.0.1 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
603eb62698f7fb3c333a77f61709ec19
パッケージ汚染npm2026-07-02
test-pkg-x0@1.0.0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
db833fc0668026e75371ea47af497d35
パッケージ汚染npm2026-07-02
test-pkg-yarn@1.0.1 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
265cdda7b2e4e7a033641a45f7c1c257
