セキュリティ脅威情報

iCagendaのファイル添付機能において、危険なファイル形式のアップロードが制限されていない脆弱性が存在している。この脆弱性を悪用されると、攻撃者が任意のファイルをアップロードし、最終的にPHPコードを実行される可能性がある。本件は既に悪用が確認されているため、CISAは2026年7月13日までの対応を強く推奨している。

Balbooa Formsにおいて、危険な種類のファイルを無制限にアップロードできる脆弱性が確認された。認証されていない攻撃者が任意のファイルをアップロード可能であり、実行可能なファイルを設置することで、最終的にリモートコード実行（RCE）に至る恐れがある。本件は実際に悪用が確認されているため、CISAは2026年7月13日までの対応を強く推奨している。

SiYuanのCSSスニペット処理において、入力値のサニタイズ不備によりStored XSS（蓄積型クロスサイトスクリプティング）が発生する脆弱性が存在します。攻撃者は悪意のあるCSSスニペットをワークスペースに注入することで、当該ワークスペースを同期している全デバイスで任意のJavaScriptを実行可能です。特にElectron版では、レンダラープロセスでNode.jsの統合が有効（nodeIntegration:true）であるため、このXSSを起点としてOSコマンドを実行するリモートコード実行（RCE）に発展する危険性が極めて高い重大な脆弱性です。

PrestaShop の ps_facetedsearch モジュールにおいて、PHP オブジェクトインジェクションの脆弱性が発見された。攻撃者は細工した URL パラメータを送信することで、キャッシュ内のデータを操作し、任意の PHP オブジェクトをデシリアライズさせることが可能である。この脆弱性を悪用されると、攻撃者はサーバ上に任意の PHP ファイル（Webシェル）を作成し、リモートからコードを実行できる。認証不要で攻撃が可能であり、EC サイトの完全な乗っ取りやサーバの侵害につながる極めて重大な脆弱性である。

Zimbra Collaboration SuiteのClassic Web Clientにおける蓄積型クロスサイトスクリプティング（Stored XSS）脆弱性です。細工されたメールをユーザーが開くことで、攻撃者が任意のスクリプトを実行し、セッションハイジャックや情報窃取を行う可能性があります。

アフラック生命保険の契約者専用サイト「アフラック よりそうネット」等に対し、第三者による不正アクセスが発生しました。約438万人分の個人情報（氏名、住所、口座情報等）が漏洩した可能性があると公表されています。現在、関連システムを一部停止し、調査と復旧作業が進められています。

高井不動産エルピスは、同社売買部門が提携するシステム会社「株式会社いえらぶGROUP」のサーバーに対する不正アクセスにより、顧客の個人情報が漏洩した可能性があると公表しました。現在、提携先にて調査および対象範囲の特定が進められています。