本日はNVDに新規CVEが200件登録され、うちCriticalが8件・Highが58件です。最も深刻なのはWordPressプラグイン「Drag and Drop File Upload for Elementor Forms」の任意ファイルアップロード脆弱性で、CVSSスコアは最大値の10.0。GitHub Advisory Database（GHSA）でもPython製アプリ公開ツール「Mercury」の認証不要RCEなどCritical評価の脆弱性が確認されています。
本日の概要
| 指標 | 数値 |
|---|---|
| 新規CVE（NVD） | 200件 |
| Critical（NVD） | 8件 |
| High（NVD） | 58件 |
| Medium（NVD） | 101件 |
| Low（NVD） | 13件 |
| CVSS未評価（NVD） | 20件 |
| GHSA更新アドバイザリ | 767件（Critical 17件・High 98件・Moderate 143件・Low 54件） |
| OSV新規検出 | 0件（監視対象16パッケージ） |
| JVN掲載 | 0件 |
Critical/High 脆弱性の詳細解説
NVDのCVSSスコア上位はWordPressプラグイン・テーマ関連が中心ですが、台湾の医療機関向けシステムやIoTルーターの脆弱性も含まれています。GHSAからはPython製ノートブック公開ツール「Mercury」の認証不要RCEを合わせて紹介します。
CVE-2025-49387：Drag and Drop File Upload for Elementor Formsの任意ファイルアップロード（CVSS 10.0）
Elementorのフォームにファイルアップロード機能を追加するWordPressプラグインで、アップロードファイルの種類検証に不備があり、Webシェルなど任意の種類のファイルを設置できる脆弱性です。CVSSスコアは最大値の10.0。
CVE-2025-9605：Tenda AC21/AC23ルーターのスタックバッファオーバーフロー（CVSS 9.8）
Tenda製Wi-Fiルーター AC21・AC23のファームウェア（16.03.08.16）で、管理画面の特定機能がリモートから操作され、スタックベースのバッファオーバーフローを引き起こす脆弱性です。PoCが既に公開されています。
- 影響バージョン: Tenda AC21 / AC23 ファームウェア 16.03.08.16
- 対応: ベンダーからの修正ファームウェア公開状況を確認（未公開の場合は管理画面への外部アクセスを遮断）
- 参考: 個別記事 / NVD
CVE-2025-8857：Clinic Image System のハードコード認証情報（CVSS 9.8）
台湾Changing社開発の医療画像管理システム「Clinic Image System」に、ソースコード内に埋め込まれた管理者認証情報が残存する脆弱性です。未認証の攻撃者が管理者権限でログインできます。
CVE-2025-8861：TSA（Changing社）の認証欠如（CVSS 9.8）
同じくChanging社が開発するTSAシステムで、認証処理が欠如しており、未認証の攻撃者がデータベースの読み取り・変更・削除を行える脆弱性です。
CVE-2025-52761：WP Funnel ManagerのPHPオブジェクトインジェクション（CVSS 9.8）
WordPressプラグイン「WP Funnel Manager」で、信頼できないデータのデシリアライズ処理に不備があり、オブジェクトインジェクションにつながる脆弱性です。
CVE-2025-49388：Miraculous Core Pluginの権限昇格（CVSS 9.8）
WordPressプラグイン「Miraculous Core Plugin」で、権限の割り当てに誤りがあり、低権限ユーザーが権限昇格できる脆弱性です。
GHSA-f8c7-rwf9-fmgm / GHSA-rv4m-xm3f-3ccq：MercuryのAPI認証不要RCE（深刻度: Critical）
PythonのJupyterノートブックをWebアプリとして公開するツール「Mercury」で、/api/terminalsおよび/api/kernelsのアクセス制御に不備があり、未認証の攻撃者が任意コードを実行できる脆弱性です（CVE-2026-111057 / CVE-2026-111058）。同製品では他にも未サニタイズなHTML出力によるXSS（CVE-2026-111059）も報告されています。
- 影響パッケージ: PyPI
mercury（修正: terminals分は3.2.4、kernels分は3.2.6、まとめて3.2.11以降で解消） - 対応: 3.2.11以降へアップデート
- 参考: GHSA (terminals) / GHSA (kernels)
CVE-2025-39496：WooBeWoo Product Filter ProのSQLインジェクション（CVSS 9.3）
WordPressプラグイン「WooBeWoo Product Filter Pro」で、SQL文の組み立てに不備があり、SQLインジェクションが可能な脆弱性です。
CVE-2025-48100：bidorbuy Store Integratorのコード実行（CVSS 9.1）
WordPressプラグイン「bidorbuy Store Integrator」で、コード生成処理の制御に不備があり、リモートからのコード実行につながる脆弱性です。
Critical以外にもHigh評価の脆弱性が多数公開されています。NVDではWordPressプラグイン・テーマのCSRFやPHPファイルインクルード系が多く、CGI::Simple（Perl）のHTTPレスポンス分割（CVE-2025-40927）やGoのnet/http系ライブラリに関するCSRF回避の問題（CVE-2025-47909、filippo.io/csrfへの移行を推奨）など、広く使われるライブラリにも注意が必要です。GHSAではaiohttp（PyPI）の過大なメモリ・CPU消費によるDoS（修正版3.14.4）がHigh評価で報告されています。
エコシステム別サマリー
OSVでは本日、監視対象16パッケージに新規脆弱性は検出されませんでした。GHSAのデータでは、.NET関連のNuGetパッケージ（Microsoft.Native.Quic.MsQuic.Schannel等）でModerate中心のアドバイザリ更新が多数あり、PyPIでは上記Mercuryとaiohttpの脆弱性が目立ちます。npm・Maven・RubyGems等での注目すべき更新は本日確認されませんでした。
JVN 日本語情報
本日のJVN掲載は0件で、該当する脆弱性対策情報はありませんでした。
まとめ
本日はNVDで新規CVEが200件公開され、Criticalが8件とやや多めです。最大深刻度のWordPressプラグイン脆弱性をはじめ、台湾の医療機関向けシステムやIoTルーターにも深刻な脆弱性が確認されており、該当ソフトウェアを利用している場合は優先的な確認を推奨します。GHSAで報告されたMercuryの認証不要RCEはPyPIパッケージとして広く配布されているため、Pythonでノートブックアプリを公開している方は特に注意してください。JVNからの新規掲載はありませんでした。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。