JVNDB-2026-006418

Nozomi Networks Inc.のCMCにおけるクロスサイトスクリプティングの脆弱性

CMCのSensor Map機能において、接続されたGuardianのプロパティに対する不適切な検証により、Stored HTML Injectionの脆弱性が発見されました。悪意のある認証済みユーザーが、CMCに接続されたGuardian上で管理者権限を持っている場合、Guardianのプロパティを編集してHTMLタグを注入できます。CMCでSensor Map機能が有効になっている場合、被害者のCMCユーザーがこれに対話すると、注入されたHTMLがブラウザに表示され、フィッシングやリダイレクト攻撃の可能性が生じます。既存の入力検証およびコンテンツセキュリティポリシーの設定により、完全なXSSの悪用や直接的な情報漏洩は防止されています。

Nozomi Networks Inc.

• CMC 25.6.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Nozomi Networks Inc.

• Product Security Incident Response Team Portal : NN-2025:17-01 - HTML injection in Sensor Map in CMC before 25.6.0 - CVE-2025-40895 | Product Security Incident Response Portal

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2025-40895

1. National Vulnerability Database (NVD) : CVE-2025-40895

• [2026年03月09日]
    掲載