JVNDB-2026-010459

IBMのSecurity Verify Access等の複数製品におけるクロスサイトスクリプティングの脆弱性

IBM Verify Identity Access Container 11.0 から 11.0.2 および IBM Security Verify Access Container 10.0 から 10.0.9.1、さらに IBM Verify Identity Access 11.0 から 11.0.2 と IBM Security Verify Access 10.0 から 10.0.9.1 では、ブラウザセッションを通じて取得される証明書リストが JSON ペイロードとして返される際に、レスポンスの Content-Type を誤って text/html と指定しています。コンテンツが HTML の MIME タイプで配信されるため、ブラウザは特定の条件下で JSON データを実行可能なスクリプトとして解釈してしまいます。これにより、JavaScript インジェクションの機会が生じ、結果としてクロスサイトスクリプティング（XSS）につながる恐れがあります。

IBM

• IBM Security Verify Access Container 10.0.0.0 から 10.0.9.1
• IBM Verify Identity Access 11.0.0.0 から 11.0.2.0
• IBM Verify Identity Access Container 11.0.0.0 から 11.0.2.0
• Security Verify Access 10.0.0.0 から 10.0.9.1

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

IBM

• IBM Security Bulletin : Security Bulletin: Security Vulnerabilities have been found in IBM Verify Identity Access and IBM Security Verify Access

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-4364

1. National Vulnerability Database (NVD) : CVE-2026-4364

• [2026年04月09日]
    掲載