株式会社Gotcha Gotcha Gamesが提供するゲーム制作ソフトRPGツクールMVおよびMZには、ゲームの進行状況や関連データを保存するセーブデータ機能が用意されています。この機能を使うと、ユーザはゲームの進行状況をセーブデータに保存し、後でこのセーブデータを読み込むことで保存時点からゲームを再開できます。 RPGツクールMVおよびMZのセーブデータ機能では、セーブデータの読み込み処理において細工された内容を適切に扱うことができず、OSコマンドインジェクションに悪用される可能性があります。 <ul><li>OSコマンドインジェクション（CWE-78）- CVE-2026-56137</li></ul> この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。 報告者：GMO Flatt Security株式会社 井手 脩太 氏

[ワークアラウンドを実施する] 開発者は、信頼できないセーブデータを読み込まないことを推奨しています。