Nozomi Networks Inc.のCMC等の複数製品におけるクロスサイトスクリプティングの脆弱性
| Title |
Nozomi Networks Inc.のCMC等の複数製品におけるクロスサイトスクリプティングの脆弱性
|
| Summary |
Smart Polling機能において、入力パラメータの不適切な検証により蓄積型HTMLインジェクションの脆弱性が発見されました。権限の制限された認証済みユーザーは、同期を通じてHTMLタグを含む悪意のあるリモート戦略をプッシュすることが可能です。被害者がSmart Polling機能内の影響を受けたリモート戦略を閲覧すると、注入されたHTMLがブラウザ上で表示され、フィッシングや場合によってはオープンリダイレクト攻撃を引き起こす可能性があります。既存の入力検証およびコンテンツセキュリティポリシーの設定により、完全なクロスサイトスクリプティング（XSS）攻撃および直接的な情報漏洩は防止されています。
|
| Possible impacts |
当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。 |
| Solution |
正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
May 19, 2026, midnight |
| Registration Date |
May 21, 2026, 10:54 a.m. |
| Last Update |
May 21, 2026, 10:54 a.m. |
|
CVSS3.0 : 警告
|
| Score |
5.4
|
| Vector |
CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
Affected System
| Nozomi Networks Inc. |
|
CMC 26.1.0 未満
|
|
Guardian 26.1.0 未満
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年05月21日]
掲載 |
May 21, 2026, 10:54 a.m. |
NVD Vulnerability Information
CVE-2025-40904
| Summary |
A Stored HTML Injection vulnerability was discovered in the Smart Polling functionality due to improper validation of an input parameter. An authenticated user with limited privileges can push malicious remote strategies containing HTML tags through the sync. When a victim views the affected remote strategy in the Smart Polling functionality, the injected HTML renders in their browser, enabling phishing and possibly open redirect attacks. Full XSS exploitation and direct information disclosure are prevented by the existing input validation and Content Security Policy configuration.
|
| Publication Date |
May 19, 2026, 11:16 p.m. |
| Registration Date |
May 20, 2026, 4:12 a.m. |
| Last Update |
May 20, 2026, 2:41 a.m. |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:nozominetworks:cmc:*:*:*:*:*:*:*:* |
|
|
|
26.1.0 |
| cpe:2.3:a:nozominetworks:guardian:*:*:*:*:*:*:*:* |
|
|
|
26.1.0 |
Related information, measures and tools
Common Vulnerabilities List