JVNDB-2026-002598

Commvault Systems, IncのCommvaultにおけるクロスサイトスクリプティングの脆弱性

アプリケーションのレポートビルダーコンポーネントは、ユーザー入力を直接ウェブページに保存し、他のユーザーに表示するため、クロスサイトスクリプティング（XSS）攻撃の可能性が懸念されています。この機能を適切に管理することは、安全でシームレスなユーザー体験を確保するのに役立ちます。レポート作成時にはユーザー入力の検証が行われませんが、最終ユーザーがレポートを実行する際にはこれらのスクリプトは実行されません。スクリプトは編集権限を持つユーザーがレポートビルダーでレポートを修正する際に実行されます。レポートビルダーはWebConsoleの一部です。WebConsoleパッケージは現在サポート終了（EOL）しており、もはやメンテナンスされていません。運用環境でのインストールや使用は強く推奨されません。ただし、例えばレポートビルダーの機能にアクセスするためにインストールする場合は、機密データやインターネット接続を一切含まない、完全に隔離されたネットワーク内で展開しなければなりません。これは重要なセキュリティ対策です。廃止されたパッケージには未修正の脆弱性が含まれている可能性があり、更新や修正のサポートを受けられないためです。

Commvault Systems, Inc

• Commvault 11.32.0 から 11.32.112
• Commvault 11.36.0 から 11.36.68

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Commvault Systems, Inc

• Commvault : CV_2025_06_3

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2025-12776

1. National Vulnerability Database (NVD) : CVE-2025-12776

• [2026年02月04日]
    掲載