本日はNVD/OSV/GHSAの3ソース合計で367件の脆弱性情報があり、うちCriticalが33件、Highが124件です。最も深刻なのはワークフロー基盤KestraのCVSSスコア10.0の認証バイパス（未認証RCE、CISAの実被害確認済みリストにも掲載）で、早急な対応が推奨されます。Next.jsにも未認証RCEが2件報告されており、該当するアプリケーションは優先的に確認してください。
本日の概要テーブル
| 指標 | 数値 |
|---|---|
| 新規・更新CVE | 367件 |
| Critical (9.0+) | 33件 |
| High (7.0-8.9) | 124件 |
| Medium (4.0-6.9) | 152件 |
| Low/その他 | 58件 |
| 影響エコシステム | npm（Next.js, Nuxt, Astro, Vite ほか） |
Critical/High 脆弱性の詳細解説
CVE-2026-49869: Kestraの認証バイパスによる未認証RCE
CVSSスコア10.0（Critical）。Kestra OSSの認証フィルタは、リクエストパスの末尾が /configs かどうかだけを見て公開エンドポイントと判定していました。この判定が末尾一致のみだったため、末尾が /configs であればどのAPIパスでも認証なしで通過してしまいます。未認証の攻撃者がワークフローを作成・実行できてしまい、Kestraはデフォルトでスクリプト実行プラグインが有効なため、worker コンテナ内でrootとして任意コード実行が可能になります。CISAの実際に悪用が確認された脆弱性カタログ（KEV）にも掲載されています。1.0.45 および 1.3.21 で修正済みです。
NVD / GHSA
CVE-2026-53576: Kestraの同種バイパスによるDockerホスト侵害
CVSSスコア10.0（Critical）。REST APIの認証フィルタでも同じ /configs サフィックス一致の問題があり、未認証の呼び出し元がフローの作成・実行エンドポイントに到達できます。公式の docker-compose.yml が /var/run/docker.sock をマウントしているため、コンテナ内でroot権限を得た攻撃者はホストのDockerデーモンにも到達できます。1.0.45 および 1.3.21 で修正済みです。
GHSA
CVE-2026-13782: Google Chromeのサンドボックスエスケープ
CVSSスコア10.0（Critical）。Browserコンポーネントのuse-after-freeにより、レンダラープロセスを侵害済みの攻撃者がサンドボックスエスケープを行える可能性があります。150.0.7871.47 より前のバージョンが対象です。同時期にANGLE・Skia・Dawn・GPU・Viewsなど複数コンポーネントでHigh〜Criticalの脆弱性が修正されています。 参考
Next.js: use cache 関数からの未認証RCE
複数の型付き配列を返す use cache 関数を持つApp Router（Cache Component有効時）のアプリケーションが対象。既知の回避策はなく、該当する関数がなくても予防的なアップデートが推奨されています。next 16.4.1 で修正済みです。
GHSA-673q-mjm6-r5xr
Next.js: Image Optimization APIでのSVG処理によるRCE
画像最適化で利用する依存ライブラリ（sharp）のメモリ関連の問題に起因し、glibc系Linux上で動作するNext.jsでRCEに繋がる可能性があります。next 15.5.28 または 16.4.1 で修正済み（sharpは0.35.5以降が同梱されます）。 GHSA-2464-fhr4-w9xw
CVE-2026-116199: Snipe-ItのGoogle SSO認証バイパス
Critical判定。Google SSOのコールバック処理に起因する認証バイパスです。8.6.3で修正されています。 GHSA
CVE-2026-116163: parse-serverの認証バイパス
Critical判定。authAdapterのサブクラスを利用した認証バイパスです。9.10.5-alpha.2で修正されています。 GHSA
CVE-2026-46386: OpenProjectの固定SECRET_KEY_BASEによるデシリアライズ
CVSSスコア9.9（Critical）。公式Dockerイメージが SECRET_KEY_BASE=OVERWRITE_ME という固定値を既定で出荷しており、cookieのシリアライズ方式がMarshalであるため、ログイン済みユーザーなら決定的なデシリアライズ経路が成立します。GHSAには明確な修正バージョン番号の記載がないため、公式Dockerイメージを最新化し、SECRET_KEY_BASE を必ず独自の値に差し替えているか確認してください。
GHSA
CVE-2026-58053: Gitea act_runnerのコンテナ権限昇格
CVSSスコア9.9（Critical）。Dockerバックエンドで container.options の文字列をそのままHostConfigに反映しており、privileged: false を指定してもPrivilegedフラグのみが無効化され、--pid=host や --cap-add などは素通りします。ワークフローを実行できるユーザーがホストへエスケープできる可能性があります。公式の修正版番号はアドバイザリで確認してください。
参考
CVE-2026-0685: Genshiテンプレートエンジンのサーバーサイドテンプレートインジェクション
CVSSスコア9.8（Critical）。式評価コンポーネントにSSTIがあり、クラフトされたテンプレート式でRCEに繋がります。対象はバージョン0.7.9。アドバイザリに明確な修正版番号の記載がないため、使用中のアプリケーションは最新版への切り替えやテンプレート入力のサニタイズを検討してください。 参考
エコシステム別サマリー
npm（OSV, 16件）
- Next.js（4件）: 前述の未認証RCE 2件に加え、Server ActionsのDoS、
use cacheのキャッシュキー漏れ。next 16.4.1 / 15.5.28への更新で解消。 - Nuxt / @nuxt/nitro-server（4件）: 大文字小文字違いやパーセントエンコードでルートルール・ミドルウェアを回避できる問題群、サーバーアイランドでの
useHeadSafe未サニタイズ。4.6.2等で修正。 - Astro（2件）: JSX/MDXの
<script>/<style>内でのXSS（High）、View TransitionsでのCSS injection。7.3.2/7.3.3で修正。 - Vite / vite-plus（4件）: カスタムミドルウェア経由のクロスオリジンスクリプト実行、
server.fs設定外のファイル内容露出2件。8.x系で修正。 - launch-editor（3件、いずれもWindows関連）:
fs.existsSync()の存在チェック回避、エディタCLIフラグの誤解釈によるコマンド実行、%エスケープ漏れ。2.14.2で修正。
GHSA掲載の主なソフトウェア（本日分、131件）
- vllm: DoS・SSRF系が6件（High中心）。0.24.0/0.29.0/0.31.0等で順次修正。
- rclone: パストラバーサル・認証バイパス・認証情報漏洩系が6件（High中心）。1.75.2で修正。
- YesWiki: SQLi・XSS・CSRF・SSRFが5件（High中心）。4.7.0で修正。
- siyuan: パストラバーサル・平文通信関連が3件（High中心）。3.8.7で修正。
- ImageMagick: メモリリーク・ポリシーバイパス系が多数（Low〜Moderate中心）。6.9.13-58 / 7.1.2-33系で順次修正。
JVN 日本語情報
本日はJVNの日本語データはありません。
まとめ
本日はKestraの未認証RCE（CVSSスコア10.0、CISA KEV掲載）が最も深刻で、該当プラットフォームを運用している場合は最優先の確認・パッチ適用を推奨します。あわせてNext.jsの未認証RCE2件は多くのプロダクトに影響する可能性があるため、App RouterやImage Optimizationを使っているチームは早めのバージョン確認をおすすめします。全体件数は多めですが、Critical/Highの大半は特定のOSS（Kestra、OpenProject、Gitea、Chromeほか）に集中しており、該当ソフトウェアの利用有無をまず確認するのが効率的です。
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。