米政府、GW期間中に悪用確認脆弱性10件を追加

一方「CVE-2024-58136」は、PHPウェブアプリケーションフレームワーク「Yii Framework」において検証チェックが正しく行われず、意図しないクラスがインスタンス化され、外部からの入力を通じて任意のコードが実行されるおそれがある。

2024年に修正された「CVE-2024-4990」のリグレッションにより生じたとされており、2025年2月以降、悪用されているとの指摘が出ていた。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは、CVE番号を採番したMITREでは「9.0」、米国立標準技術研究所（NIST）による脆弱性データベース「NVD」では「9.8」と評価。ともに重要度を「クリティカル（Critical）」としている。

現地時間5月5日には、AIを活用したエージェントやワークフローを構築できるツール「Langflow」の脆弱性「CVE-2025-3248」を登録した。APIにおいて認証が欠如しており、細工したHTTPリクエストにより認証なしに任意のコードを実行できるという。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は「クリティカル（Critical）」とレーティングされている。3月31日にリリースされた「同1.3.0」にて修正された。

（Security NEXT - 2025/05/07 ）ツイート