CVE-2026-69240CVSS 9.8 超危険2026-08-04
Sequelize の Oracle 方言における SQL インジェクションにより任意の SQL 式が実行される
Sequelize の 6.37.4 より前のバージョンでは、方言（dialect）を oracle に設定した場合、sql-string.js に定義された escape 関数にセキュリティ上の欠陥があります。入力値が TO_TIMESTAMP または TO_DATE で始まると、この関数は単一引用符をエスケープせず元の値をそのまま返すため、SQL インジェクション（CWE-89）が生じます。攻撃者は応用側の値を通じて任意の SQL 式を注入でき、データベースの完全性と機密性が脅かされます。Sequelize は Oracle 方言の特定の場面で SQL インジェクションの脆弱性を持ち、攻撃者は特定の文字列を組み立てて発火させ、データの漏洩、改竄、リモートコード実行に至らせられます。本脆弱性は 6.37.4 へ更新していないすべての利用者、とりわけ Oracle データベースを用いる後段のサービスに影響します。攻撃者は複雑な前提条件なしにネットワーク経由で遠隔から悪用できます。
コンポーネント
Sequelize は複数のデータベース方言に対応する高機能な Node.js の ORM で、データベース操作とデータの対応付けを簡便にするために用いられます。
リスク
- データの完全な漏洩：攻撃者は SQL インジェクションによりデータベース内の任意の機微情報、利用者の資格情報や業務データを読み取れます
- データ完全性の毀損：攻撃者はデータベースの記録を改変または削除でき、業務ロジックの誤りやデータの喪失を招きます
- リモートコード実行の危険：特定の構成では、SQL インジェクションがサーバー側のコード実行へ発展し、後段のサービスを完全に掌握される可能性があります
- 認証を要しない遠隔攻撃：攻撃者は脆弱な応用の接口へ特製の要求を送るだけで発火でき、利用者の操作も資格情報も必要ありません
出典
対処方法- 本脆弱性を修正するため、Sequelize を直ちに 6.37.4 以降へ更新してください
- Oracle 方言に関わるクエリの処理を見直し、利用者の入力を直接連結しないでください
- ウェブアプリケーションファイアウォール（WAF）を配備し、一般的な SQL インジェクションの型を遮断してください
CVE-2026-69085CVSS 10.0 超危険2026-08-03
SiYuan の SQL インジェクションによりデータベースの内容が読み取られ改変される
SiYuan の v3.7.3 より前のバージョンでは、/api/filetree/searchDocs の接口が呼び出し側から与えられた keyword 引数をエスケープも引数束縛もせずに SQL 文へ直接連結するため、SQL インジェクション（CWE-89）というセキュリティ上の欠陥が存在します。この接口は publish RoleReader トークンでアクセスでき、公開モードを有効にし Publish.Auth.Enable を false に設定している場合は認証なしでもアクセスできます。この文は、セミコロン区切りの積み重ね文に対応するドライバを介して読み書き可能な SQLite ハンドル上で実行されるため、攻撃者は当該実体上のすべての平文（非暗号化）ノートブックのデータベース内容を読み取り、改変できます。本脆弱性は v3.7.3 へ更新していないすべての利用者に影響します。攻撃者は悪意ある要求を組み立てて発火させ、データの漏洩や改竄に至らせられます。
コンポーネント
SiYuan はブロック単位の参照、双方向リンク、アウトラインモード、Markdown 記法に対応した、プライバシー優先で自己ホスト型の知識ベースソフトウェアです。
リスク
- データの完全な漏洩：攻撃者は当該実体上のすべての平文ノートブックのデータベース内容を読み取れ、機微情報が露出します
- データ完全性の毀損：攻撃者はデータベースの内容を改変し、ノートのデータの完全性と一貫性を損なえます
- 認証を要しない攻撃：特定の構成（公開モードが有効で Publish.Auth.Enable が false）では、攻撃者は認証なしに本脆弱性を悪用できます
出典
対処方法- SiYuan を直ちに v3.7.3 以降へ更新してください
- 直ちに更新できない場合は、Publish.Auth.Enable を true に設定し、RoleReader トークンのアクセス権限を限定してください
- データベースの内容を暗号化して保存し、平文での露出の危険を減らしてください
CVE-2026-64827CVSS 9.8 超危険2026-08-03
Telenia TVox の認証回避により未認可のアクセスが可能になる
Telenia Software TVox の 26.x（26.5.3 以下）および 24.x（24.9.21 以下）のバージョンでは、set_env.php に認証回避の脆弱性が存在します。この欠陥は redirectToLoginAdminIRequestHaveAccessToken() 関数が PHP_SELF から現在のページ名を導出し、その値が login_admin.php と一致する場合に認証を飛ばすことに起因します。攻撃者は任意の対象 PHP スクリプトの経路の後ろに /login_admin.php を付け加えることで認証確認を通過させ、manager の HTML ディレクトリ配下のすべての PHP スクリプトへ未認可でアクセスできます。本脆弱性は安全な版へ更新していないすべての利用者に影響します。攻撃者は認証なしに遠隔から悪用し、システムの管理権限を直接取得できます。
コンポーネント
Telenia TVox は Telenia Software が開発したソフトウェアで、特定の業務管理や通信の場面で用いられ、ウェブベースの管理画面を備えます。
リスク
- 管理機能への未認可アクセス：攻撃者はログイン検証を回避し、manager の HTML ディレクトリ配下のすべての PHP スクリプトへ直接アクセスできます
- システムの完全な制御：管理用スクリプトは通常高い権限を持つため、攻撃者は機微データの閲覧・改変・削除といった任意の操作を行える可能性があります
- 利用者の操作を要しない：攻撃者は特定の URL 要求を組み立てるだけで発火でき、対象の利用者による押下や操作を必要としません
出典
対処方法- ウェブサーバーの層でアクセス制御規則を設定し、manager ディレクトリへの直接アクセスを制限してください
- ウェブのアクセスログを監視し、/login_admin.php の接尾辞を含む異常な要求経路を検出してください
