CVE-2026-68079CVSS 9.8 超危険2026-08-06
Apache CXF の認可コード再生攻撃により認証が回避される
Apache CXF の DefaultEncryptingCodeDataProvider では、removeCodeGrant の実装に欠陥があるため、捕捉された authorization code を無制限に引き換えられます。これは「authorization code は一度を超えて使用してはならない」という RFC の要求に反します。本脆弱性は CXF の 3.6.12 より前、4.2.0 から 4.2.3 より前、4.0.0 から 4.1.8 より前の各バージョンに影響します。攻撃者はネットワーク経由で遠隔から悪用でき、利用者の操作を必要とせず攻撃の複雑さも低く、機密性・完全性・可用性への高い影響を招く可能性があります。
コンポーネント
Apache CXF は SOAP、REST、OAuth など複数のウェブサービス標準に対応するオープンソースのウェブサービスフレームワークで、企業応用のサービス統合に広く用いられています。
リスク
- 認証の回避：攻撃者は認可コードを捕捉して再生し、通常の認証の流れを迂回して利用者の身元トークンを不正に取得できます
- システムの完全な制御：認証が通れば、攻撃者は得た権限で保護された資源へアクセスし任意の操作を行え、データの漏洩や改竄に至ります
- 利用者の操作を要しない攻撃：本脆弱性はネットワーク経由で遠隔から発火でき、攻撃者は利用者に追加の操作を促す必要がありません
出典
対処方法- Apache CXF を直ちに 4.2.3、4.1.8、または 3.6.12 以降へ更新してください
- OAuth の認可コードの使用ログを監視し、異常な再生の挙動を検知してください
- 厳格なセッション管理とトークン失効の機構を実施し、認可コードの有効期間を限定してください
CVE-2026-48170CVSS 9.8 超危険2026-06-23
libxml2 の xmlOutputBufferWriteString 関数におけるヒープバッファオーバーフローによりリモートコード実行に至る
libxml2 の xmlIO.c にある xmlOutputBufferWriteString 関数にヒープバッファオーバーフローの脆弱性が存在します。特定の書式文字列を含む入力を処理する際、攻撃者は悪意あるデータを組み立ててこの脆弱性を発火させ、メモリ破壊を引き起こして任意コードの実行に至らせる可能性があります。libxml2 は特定の形式の XML 入力を処理する際にメモリ破壊の脆弱性を持ち、攻撃者は悪意ある XML データを組み立てて発火させ、リモートコード実行やサービス停止に至らせられます。本脆弱性は修正を適用していないすべての利用者、当該ライブラリに依存する各種の応用とサービスを含めて影響します。攻撃者は対象に特製の XML ファイルを処理させるだけで悪用でき、利用者の操作を必要とせず遠隔から制御できます。
コンポーネント
libxml2 は XML 文書を解析するための C 言語のライブラリで、各種のオープンソースソフトウェアやオペレーティングシステムで広く用いられています。
リスク
- 一般利用者から管理者へ：被害者が libxml2 に依存する応用を管理者権限で実行している場合、攻撃者も同じ権限を得ます
- システムの完全な制御：攻撃者は被害者のシステム上で任意のコードを実行でき、利用者の権限に応じてプログラムの導入、データの閲覧・改変・削除、完全な権限を持つ新規アカウントの作成が可能になります
- 利用者の操作を要しない攻撃：ドライブバイ侵害（T1189）の手法により、利用者は悪意ある XML ファイルを処理するだけで脆弱性が発火し、追加の操作を必要としません
出典
対処方法- 異常なメモリアクセスの挙動ログを監視してください
- 実行環境にサンドボックスによる隔離機構を有効化してください
- 信頼できない出所からの XML データの読み込みを遮断してください
パッケージ汚染npm2026-08-07
@junyoung-kim/reins@0.1.6 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
317b894ae24986a803fd567391a0b7cc
パッケージ汚染npm2026-08-07
aitable-workflow-server@9.9.9 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
691aea4a5402e292a04ae37bf65d6c0d
パッケージ汚染npm2026-08-07
remote-claude-daemon@0.5.2 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
4e763b044c3c890ff173123bd10d4dae
パッケージ汚染npm2026-08-07
shadowx-fca@10.0.0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
60cf8fbd522f660cf2d556952840d70d
パッケージ汚染npm2026-08-07
zyr-agent@1.6.2 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
94de55590d251ab0643e27306de08be4
パッケージ汚染npm2026-08-07
weight2loss@1.0.5 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
9a35821cd933aadf314e2ae0d1759407
パッケージ汚染npm2026-08-08
aclade-agent@1.0.4 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
01a24c061455e651a67a3390cff9d7d7
パッケージ汚染npm2026-08-08
agenthub-ai@0.20.1 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
fcf6d8d357322b439bb0b4a99e5d8e84
パッケージ汚染npm2026-08-08
w-screenctl@1.0.6 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
01bab44ca56083e8d94b1d7857dd0f68
パッケージ汚染npm2026-08-08
@depup/astro@7.1.3-depup.2 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
f95bc3a7cf3750ed2bf843956dad482a
パッケージ汚染npm2026-08-08
@depup/aws-sdk__credential-provider-process@3.972.66-depup.0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
1a87ed22cc11b8323e93e02cc1998b9c
パッケージ汚染npm2026-08-08
@mrbenty8jf1p9y5/oidc-bind-canary@0.0.3 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
6f66c434e099c5731cd1eceb38ebccef
パッケージ汚染npm2026-08-08
map-streak-kit@1.0.0 が悪意あるコンポーネントとして検知
このバージョンは悪意あるドメインとの通信および悪意あるコマンドの実行が確認されました。依存関係を直ちに監査し、安全なバージョンに固定してください。
MD5
c2d2148a6ccca8528cbc3816c9c337a5
