公開済み安全でないデシリアライズ / リモートコード実行
CVE-2026-76404: Splunk MCP Serverの安全でないデシリアライズ
Splunk MCP Server appの認証情報管理で、保存データが型検証なしにデシリアライズされ、管理者権限を持つ利用者が基盤OS上でコマンドを実行できる問題です。
- 製品:
- Splunk MCP Server app
- CVE:
- CVE-2026-76404
$ ls research/
研究
AI連携システムの信頼境界における脆弱性研究。
公開済みリソース消費の制御不備 / サービス拒否
CVE-2026-73635: Apache StrutsのリクエストLocaleによるキャッシュ枯渇
固定Localeが設定されていないApache Strutsで、リクエスト由来のLocale値によりlocalized-text cacheが際限なく増加し、Java heapを枯渇させる問題です。
- 製品:
- Apache Struts
- CVE:
- CVE-2026-73635
- JVN:
- JVN#08517956
公開済みAccess Bypass
CVE-2026-13236: Drupal AI AgentsのTool・フィールド認可
Drupal AI AgentsのToolがコンテンツを読み込む際に必要なアクセス制御が十分でなかった問題です。Agent、Tool、Entity、Fieldの認可を分けて評価する必要性を示します。
- 製品:
- Drupal AI Agents
- CVE:
- CVE-2026-13236
- JVN:
- JVN#20592637