2026-09-14 デイリーセキュリティ情報

kohya_ss は Gradio フレームワーク上に構築された安定拡散モデルの訓練と微調整を補助するツールです。中核部品である Kontext 手動注釈インタフェースは、画像データセットの自動化ラベル生成と管理機能を利用者に提供することを目的としています。本モジュールは Web インタフェースで利用者相互作用を実現し、クライアントが提出するデータパラメータに依存してサーバー側のファイルシステム操作を発火させ、効率的な一括データ処理の流れを支えます。

Path Traversal (CWE-22)

github.com/bmaltais/kohya_ss · Star 12579

Aim は機械学習エンジニア向けに設計されたオープンソースの実験管理ツールです。中核アーキテクチャはローカルファイルシステムとネットワーク追跡サーバーを含み、標準化インタフェースでモデル訓練過程のパラメータ記録、指標の可視化、メタデータの永続化を実現し、複数クライアントの同時接続を支えてチーム協働の効率を最適化することを目的としています。

Missing Authorization (CWE-862)

github.com/aimhubio/aim · Star 6251

Totolink A3002MU は無線ルーター機器で、そのファームウェアに含まれる boa 部品は Web 管理インタフェースのフォーム要求を処理します。

• 遠隔コード実行：攻撃者は公開された利用コードを用い、悪意ある要求を組み立ててバッファオーバーフローを発火し、機器上で任意の命令を実行できます。
• システムの完全な制御：脆弱性の影響範囲が広く悪用可能性が高いため、攻撃者は機器の最高権限を取得し、機微データの窃取、設定の改ざん、またはボットネットへの編入が可能です。
• 利用者相互作用不要：攻撃はネットワークから直接開始でき、被害者は追加操作なしに侵害されます。

NVD · CVE-2026-90605

D-Link DIR-823G は無線ルーターで、HNAP1 はその遠隔管理と設定に用いるネットワーク API 部品です。

• 一般利用者から管理者へ：攻撃者が本脆弱性の悪用に成功すれば、ルーターの完全な制御権を得られ、管理者権限に相当します
• システムの完全な制御：攻撃者はこの脆弱性を用いてルーター上で任意のコードを実行でき、権限に応じてネットワーク設定の変更、データの閲覧・変更・削除、完全な権限を持つ新規アカウントの作成が可能です
• 利用者相互作用不要の攻撃：遠隔ネットワーク要求（T1189）により、攻撃者は利用者がクリックや相互作用をしなくても脆弱性を発火し、遠隔操作を実現できます

NVD · CVE-2026-90680