【セキュリティ日報】Mesop CVSS 10.0パストラバーサル、OpenWrt mdnsバッファオーバーフローほか 200件

本日 の NVD 更新 では 200件 の CVE が 公開・更新 され、Critical が 20件、High が 69件 です。Python UI フレームワーク Mesop に CVSS 10.0 の パストラバーサル が 報告 されて おり、ファイル 操作 や DoS に 直結 します。OpenWrt の mdns デーモン に スタックベース バッファオーバーフロー が 2件 報告 され、リモート コード 実行 の 可能性 が あります。また、Microsoft 365 Copilot の SSRF、PJSIP の DNS パーサー ヒープ BOF など 広範囲 に 影響 する 脆弱性 が 目立ちます。

本日 の 概要

Critical / High 脆弱性 の 詳細

CVE-2026-33054 — Mesop パストラバーサル に よる 任意 ファイル 操作

• CVSS スコア: 10.0（Critical）
• CWE: CWE-22（パストラバーサル）
• 影響: Mesop 1.2.2 以下
• 修正: Mesop 1.2.3

Python ベース の UI フレームワーク Mesop の FileStateSessionBackend に おいて、UI ストリーム ペイロード の state_token を 介した パストラバーサル 脆弱性 が あります。未認証 の 攻撃者 が 任意 の ファイル を 読み書き・削除 でき、サービス 拒否 や 任意 ファイル 操作 に 繋がります。FileStateSessionBackend を 使用 している 場合 は 1.2.3 へ の アップデート を 推奨 します。

• 参考: GHSA-8qvf-mr4w-9x2c / NVD

CVE-2026-3587 — CLI プロンプト の 隠し機能 を 悪用 した デバイス 完全 侵害

• CVSS スコア: 10.0（Critical）
• CWE: CWE-912（隠し機能）
• 影響: 詳細 未公開（CERT@VDE アドバイザリ）

CLI プロンプト の 隠し機能 を 悪用 し、制限 された インターフェース を エスケープ する ことで デバイス の 完全 な 侵害 が 可能 な 脆弱性 です。未認証 の リモート 攻撃者 が 悪用 可能 です。

• 参考: VDE-2026-020 / NVD

CVE-2026-26137 — Microsoft 365 Copilot SSRF に よる 権限昇格

• CVSS スコア: 9.9（Critical）
• CWE: CWE-918（SSRF）
• 影響: Microsoft 365 Copilot Business Chat

Microsoft 365 Copilot の Business Chat 機能 に SSRF 脆弱性 が あり、認証済み の 攻撃者 が ネットワーク 経由 で 権限 を 昇格 できる 可能性 が あります。Microsoft 365 を 利用 している 組織 は セキュリティ 更新 の 適用 状況 を 確認 してください。

• 参考: Microsoft Advisory / NVD

CVE-2026-22172 — OpenClaw WebSocket 認可 バイパス に よる スコープ 昇格

• CVSS スコア: 9.9（Critical）
• CWE: CWE-862（認可 の 欠如）
• 影響: OpenClaw 2026.3.12 未満
• 修正: OpenClaw 2026.3.12

OpenClaw の WebSocket 接続 パス に 認可 バイパス 脆弱性 が あり、共有 トークン または パスワード 認証 の 接続 が サーバー 側 バインディング なし に operator.admin 等 の 昇格 スコープ を 自己 宣言 できます。

• 参考: GHSA-rqpp-rjj8-7wv8 / NVD

CVE-2026-30871 / CVE-2026-30872 — OpenWrt mdns スタックベース バッファオーバーフロー

• CVSS スコア: 9.8（Critical）
• CWE: CWE-121（スタックベース BOF）
• 影響: OpenWrt 24.10.5 以下、25.12.0 以下
• 修正: OpenWrt 24.10.6、25.12.1

OpenWrt の mdns デーモン に 2件 の スタックベース バッファオーバーフロー 脆弱性 が あります。CVE-2026-30871 は parse_question 関数、CVE-2026-30872 は match_ipv6_addresses 関数 で 発生 し、いずれ も PTR クエリ の 逆引き DNS ドメイン 処理 時 に 256 バイト の スタック バッファ を オーバーフロー させます。UDP ポート 5353 で 受信 した 細工 DNS パケット に より リモート コード 実行 の 可能性 が あります。

• 参考: GHSA-7c3j-f7w2-p8f6 / NVD

CVE-2026-32945 — PJSIP DNS パーサー ヒープ バッファオーバーフロー

• CVSS スコア: 9.8（Critical）
• CWE: CWE-122（ヒープベース BOF）
• 影響: PJSIP 2.16 以下
• 修正: PJSIP 2.17

PJSIP の 組み込み DNS リゾルバ の 名前 長 ハンドラー に ヒープベース バッファオーバーフロー 脆弱性 が あります。pjsua_config.nameserver 等 で 組み込み DNS リゾルバ を 使用 している アプリケーション が 影響 を 受けます。OS リゾルバ（getaddrinfo）を 使用 している 場合 は 影響 ありません。

• 参考: GHSA-jr2p-p2w4-rr9q / NVD

CVE-2026-33057 — Mesop テスト 用 Flask サーバー RCE

• CVSS スコア: 9.8（Critical）
• CWE: CWE-94（コード インジェクション）
• 影響: Mesop 1.2.2 以下
• 修正: Mesop 1.2.3

Mesop の AI テスト モジュール 内 の Flask サーバー に 未認証 リモート コード 実行 脆弱性 が あります。/exec-py エンドポイント が Base64 エンコード された Python コード を 無条件 で 実行 します。

• 参考: GHSA-gjgx-rvqr-6w6v / NVD

CVE-2026-29103 — SuiteCRM パッチ バイパス に よる RCE

• CVSS スコア: 9.1（Critical）
• CWE: CWE-94（コード インジェクション）
• 影響: SuiteCRM 7.15.0、8.9.2
• 修正: SuiteCRM 7.15.1、8.9.3

SuiteCRM の ModuleScanner.php に おける PHP トークン パース の 不備 で、CVE-2024-49774 の パッチ が バイパス されます。認証済み の 管理者 が system() 等 の 危険 な 関数 呼び出し を 変数 代入 や 文字列 結合 で 隠蔽 し、任意 の システム コマンド を 実行 できます。

• 参考: GHSA-5jjq-9qch-9rg7 / NVD

CVE-2025-54236 — Adobe Commerce セッション ハイジャック

• CVSS スコア: 9.1（Critical）
• CWE: CWE-20（入力 検証 不備）
• 影響: Adobe Commerce 2.4.9-alpha2 以下
• CISA KEV: 登録済み

Adobe Commerce に 不適切 な 入力 検証 の 脆弱性 が あり、セッション テイクオーバー が 可能 です。ユーザー 操作 不要 で 悪用 可能 な ため、影響 を 受ける バージョン を 使用 している 場合 は 早急 な パッチ 適用 を 推奨 します。

• 参考: Adobe Advisory / CISA KEV / NVD

SuiteCRM 脆弱性 クラスタ（4件）

SuiteCRM の バージョン 7.15.0 / 8.9.2 以下 に 複数 の Critical / High 脆弱性 が 報告 されています。いずれ も バージョン 7.15.1 / 8.9.3 で 修正 済み です。

SuiteCRM を 使用 している 場合 は 7.15.1 / 8.9.3 へ の アップデート を 推奨 します。

その他 の 注目 CVE

• CVE-2026-33068: Claude Code 2.1.53 未満 で .claude/settings.json の bypassPermissions 設定 が 信頼 確認 ダイアログ を スキップ する 問題（CVSS 8.8）
• CVE-2026-32710: MariaDB 11.4/11.8 の JSON_SCHEMA_VALID() で クラッシュ、条件 次第 で RCE の 可能性（CVSS 8.5）。11.4.10 / 11.8.6 で 修正
• CVE-2026-3009: Keycloak で 無効化 された IdP 経由 の 認証 バイパス（CVSS 8.1）
• CVE-2026-27625: Stirling-PDF の ZIP 展開 で パストラバーサル に よる 任意 ファイル 書き込み（CVSS 8.1）。2.5.2 で 修正
• CVE-2026-33010: mcp-memory-service の CORS 設定 不備 で 全メモリ データ の 読み書き 可能（CVSS 8.1）。10.25.1 で 修正
• CVE-2026-32303: Cryptomator の vault 設定 改ざん で Hub 鍵 の MITM が 可能（CVSS 7.6）。Desktop 1.19.1 / Android 1.12.3 / iOS 2.8.3 で 修正
• CVE-2026-25667: ASP.NET Core Kestrel で リモート DoS（CVSS 7.5）。.NET 8.0.22 / 9.0.11 で 修正

Sercomm SCE4255W 脆弱性 クラスタ（3件）

Small Cell Sercomm SCE4255W（FreedomFi Englewood）の ファームウェア に 3件 の CVSS 9.8 脆弱性 が まとめて 報告 されています。ハードコード 暗号 鍵、OS コマンド インジェクション、決定論的 資格 情報 生成 と いった 根本的 な 設計 上 の 問題 です。

ファームウェア DG3934v3@2308041842 以降 で 修正 されています。

まとめ

本日 は Critical 20件、High 69件 を 含む 200件 の CVE を 分析 しました。Mesop の CVSS 10.0 パストラバーサル（CVE-2026-33054）が 最も 深刻 で、FileStateSessionBackend を 使用 している Python アプリケーション は 即座 に 1.2.3 へ の アップデート を 推奨 します。OpenWrt の mdns デーモン に 2件 の スタックベース BOF が 報告 され、組み込み デバイス を 運用 している 場合 は 24.10.6 / 25.12.1 へ の 更新 が 必要 です。Microsoft 関連 では Copilot SSRF（9.9）、Purview SSRF 2件（8.6）、Windows SMB / Kernel の 権限昇格 など 合計 7件。SuiteCRM は RCE を 含む 4件 の 修正 が あり 7.15.1 / 8.9.3 へ の 更新 を 推奨 します。メモリ 安全性 の 問題（UAF、BOF）が 全体 の 約 25% を 占め、C/C++ 製 の 組み込み デバイス や ライブラリ に 集中 して いる 傾向 は 引き続き 見られます。

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説 は Claude API に より 自動生成 されています。正確性 に ついては 原文 を ご確認 ください。