脆弱性（OSS以外のものも含む）に関するトピックを集めています。最新の情報でディストリビューション側で対応できていないものも、こちらには載せています。適宜更新していきます。
2026/01/08
n8nにNi8mare脆弱性(Critical: CVE-2026-21858)
- centraのブログより
- OSSの自動化ワークフローソフトであるn8nにリモートコード実行の脆弱性が見つかっています。
- CVE-2026-21858
- CVSS
- Base Score: 10.0 Critical
- Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
- 不適切なWebhookリクエスト処理による認証されていないファイルアクセスが可能になっているという問題が見つかりました。これにより攻撃者は特定のフォームベースのワークフローの実行を通じて、サーバー上のファイルにアクセスできるようになります。
- CVSS
2026/01/07
D-Link DSL gateway デバイス(EOL/EOS製品)のコマンドインジェクション脆弱性(CVE-2026-0625)
- Vulncheckのサイトより
- D-Link DSL-2740R Rev.Ax / DSL-2640B Rev. Tx / DSL-2780B Rev.Ax / DSL-526B Rev. Bx（2020年までにサポート終了）でのdnscfg.cgiにコマンドインジェクション脆弱性が見つかりました。これは過去に報告された「DNSChanger(認証されずにDNSが変更される)」という挙動に繋がっていると思われています。
- CVE-2026-0625
- CVSS
- CVSS-B: 9.3 Critical
- Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- dnscfg.cgiエンドポイントにコマンドインジェクションの脆弱性が見つかりました。これは、ユーザーが指定するDNS設定パラメータに関してサニタイズが適切に行われていないことが原因です。これを悪用して、認証されていないリモートの攻撃者が任意のシェルコマンドを挿入・実行することで、リモートコード実行につながる可能性があります。
- CVSS
