JVNDB-2026-023294

Nozomi Networks Inc.のCMC等の複数製品におけるクロスサイトスクリプティングの脆弱性

DiagramタブおよびGraphビューにおいて、共有されている入力検証関数が十分に制限されていないため、Stored HTML Injectionの脆弱性が発見されました。管理者権限を持つ認証済みユーザーは、複数の入力ベクトルを通じてN2OSの構成データに悪意のあるHTMLタグを注入することが可能です。被害者がDiagramタブやGraphビューで影響を受けたデータを閲覧すると、注入されたHTMLがブラウザ上でレンダリングされ、フィッシングや場合によってはオープンリダイレクト攻撃が可能になります。既存の入力検証およびContent Security Policyの設定により、完全なXSSの悪用や直接的な情報漏洩は防止されています。

Nozomi Networks Inc.

• CMC 26.2.0 未満
• Guardian 26.2.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Nozomi Networks Inc.

• Product Security Incident Response Team Portal : NN-2026:8-01 - HTML injection in Diagram tab and Graph view in Guardian/CMC before 26.2.0 - CVE-2026-31981 | Product Security Incident Response Portal

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-31981

1. National Vulnerability Database (NVD) : CVE-2026-31981

• [2026年07月13日]
    掲載